Docker Hub: Falsche Berechtigungszuweisung bei Kontoumwandlung

Zusammenfassung

Eine Schwachstelle mit falscher Berechtigungszuweisung in der Funktion zur Umwandlung eines Kontos in eine Organisation bei Docker Hub erlaubte einem authentifizierten Angreifer, ein von ihm kontrolliertes Personal Access Token (PAT) einem anderen Docker-Hub-Benutzer zuzuweisen, ohne das Token-Geheimnis zu rotieren oder zu widerrufen. Das unveränderte PAT authentifizierte sich danach als Empfänger an der Registry und konnte Images im Rahmen seiner Scopes pullen, pushen oder löschen, auch in Organisations-Repositories, auf die dieser Benutzer Zugriff hat. Für die Ausnutzung wird ein Docker-Hub-Konto benötigt; Docker hat die Schwachstelle am 30.09.2026 behoben und meldet keine Hinweise auf eine Ausnutzung.

Betroffen

• Docker Hub (gehosteter Dienst), betroffen vom 26.08.2024, 20:33:00 UTC bis vor dem 30.09.2026, 19:10:00 UTC (gemäss CVE-Eintrag).
• Keine kundenseitigen Softwareversionen.

Behoben in

• Von Docker am 30.09.2026 direkt auf Docker Hub behoben. Ein Update durch Kunden ist nicht erforderlich.
• Die Umwandlung eines Kontos überträgt keine PATs mehr; der neue Inhaber muss neue Token erstellen.
• Genaue Kennungen der behobenen Versionen: Unbekannt.

Umgehung

• Kundenseitig ist keine Massnahme nötig; die Behebung erfolgt serverseitig.
• Persönliche Zugriffstoken, die nicht aktiv benötigt werden, prüfen und widerrufen; die weiterhin genutzten neu ausstellen.
• Im Konto-Umschalter nach Organisationen suchen, denen Sie nicht beigetreten sind.

Ausnutzung

• Docker meldet keine Hinweise auf eine Ausnutzung in freier Wildbahn.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob ein Konto, das Ihnen gehört, seit August 2024 in eine Organisation umgewandelt wurde.
• Personal Access Tokens, die in CI/CD-Pipelines oder von Mitarbeitenden genutzt werden, prüfen und rotieren.
• Aktivitätsprotokolle von Docker Hub auf unerwartete Pulls, Pushes oder Löschungen prüfen.
• Images anhand des Digests fixieren und Digests vor dem Deployment verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  CompleteTech-Security/docker-hub-ghostpat-check

Quellen der Recherche

• Docker Security Advisory CVE-2026-105445 www.docker.com
• Docker documentation: Convert a Docker account to an organization docs.docker.com
• GhostPat research write-up ghostpat.com
• BleepingComputer: Docker Hub flaw let attackers impersonate users www.bleepingcomputer.com
• The Hacker News: Docker fixes critical two-year-old Hub flaw thehackernews.com
• Strix: CVE-2026-105445 www.strix.ai
• daily.dev: Docker Hub security advisory CVE-2026-105445 daily.dev
• Vulners VulnRichment: CVE-2026-105445 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:04.