A Docker divulgou uma vulnerabilidade crítica (CVE-2026-105445) no Docker Hub que permitia a invasores acessar os repositórios de imagens de contêineres de outros usuários usando um token de acesso pessoal (PAT).
O Docker Hub é um registro online para armazenar, compartilhar e baixar imagens de contêineres, que reúnem tudo o que uma aplicação precisa para funcionar em um ambiente isolado.
No Docker Hub, um PAT funciona como um segredo usado para autenticar ferramentas e fluxos de trabalho. Ele permite baixar, enviar ou excluir imagens de contêineres.
Segundo um comunicado de segurança da equipe da Docker, um invasor poderia criar uma conta e um PAT, converter a conta em uma organização e indicar um usuário como proprietário.
A falha CVE-2026-105445 ocorria porque, durante essa conversão, o Docker Hub transferia o PAT para o proprietário indicado sem alterar o segredo nem obter o consentimento do usuário. Com isso, o invasor podia usar o token para se autenticar como a vítima.
Dependendo do escopo do token e das permissões da vítima, os invasores poderiam baixar, enviar ou excluir imagens nos repositórios dela e nas organizações às quais ela tivesse acesso.
“Dentro do escopo do token, um PAT transferido agia como se fosse o usuário no nível do registro. Isso significa que um invasor poderia baixar, enviar e/ou excluir imagens nos repositórios da vítima e nas organizações às quais ela tivesse acesso”, afirmou a Docker.
“Como isso também permitia publicar imagens usando um nome legítimo, tratamos o caso como um risco à supply chain de software e classificamos a falha como crítica.”
Apesar da gravidade, a Docker informou que a falha não dava acesso à interface web do Docker Hub nem permitia alterar senhas, endereços de e-mail ou configurações de autenticação de dois fatores. Portanto, ela não possibilitava bloquear os titulares legítimos das contas.
A vulnerabilidade foi introduzida em 26 de agosto de 2024, quando a conversão passou a transferir o PAT da conta pessoal para o novo proprietário. O processo não revogava nem substituía o segredo e não solicitava ao usuário indicado que confirmasse a alteração.
Em 30 de setembro de 2026, a Docker recebeu um relato sobre a vulnerabilidade, confirmou o problema e implantou uma correção no ambiente de produção menos de quatro horas depois.
A empresa afirma não ter encontrado indícios de exploração. Para isso, analisou 304.000 envios feitos com tokens transferidos e imagens públicas de alto risco.
Os usuários afetados e os proprietários de organizações foram notificados em 2 de outubro. Os PATs transferidos foram desativados em 8 de outubro, exceto aqueles que os proprietários solicitaram explicitamente manter ativos.
Segundo a Docker, os usuários que não receberam uma notificação devem considerar que não foram afetados e que não precisam tomar nenhuma providência.
A plataforma não transfere mais PATs durante a conversão e passou a solicitar o consentimento do usuário antes de indicá-lo como proprietário de uma organização.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...