نقص Docker Hub به مهاجمان این امکان را می دهد که هویت کاربران را جعل کنند، تصاویر را دستکاری کنند

داکر یک آسیب‌پذیری مهم (CVE-2026-105445) را در Docker Hub افشا کرده است که به مهاجمان اجازه می‌دهد با استفاده از یک نشانه دسترسی شخصی (PAT) به مخازن کانتینر کاربر دیگر دسترسی داشته باشند.

Docker Hub یک رجیستری آنلاین برای ذخیره، اشتراک‌گذاری و بارگیری تصاویر کانتینر است - قالب‌هایی که هر چیزی را که برای اجرای یک برنامه در یک محیط ایزوله لازم است بسته بندی می‌کند.

در Docker Hub، یک PAT به عنوان یک راز مورد استفاده برای احراز هویت ابزارها و گردش کار است. این به شما امکان می دهد تصاویر ظرف را بکشید، فشار دهید یا حذف کنید.

طبق یک بولتن امنیتی از تیم Docker، یک مهاجم می تواند یک حساب کاربری و PAT ایجاد کند، سپس آن حساب را به یک سازمان تبدیل کند و یک کاربر هدف را به عنوان مالک آن نام ببرد.

نقص CVE-2026-105445 ناشی از تخصیص مجدد رمز دسترسی شخصی (PAT) به مالک سازمان تعیین‌شده بدون تغییر راز یا کسب رضایت هدف از داکر هاب است. این به مهاجم اجازه می داد تا از رمز برای احراز هویت به عنوان هدف استفاده کند.

بسته به محدوده توکن و مجوزهای هدف، مهاجمان می‌توانند تصاویر موجود در مخازن هدف و سازمان‌های در دسترس را بکشند، فشار دهند یا حذف کنند.

داکر توضیح داد: "در محدوده توکن، یک PAT تخصیص مجدد به عنوان کاربر هدف در سطح رجیستری عمل می کند، به این معنی که یک مهاجم می تواند به طور بالقوه تصاویر را در مخازن هدف و در سازمان هایی که هدف دسترسی داشته است بکشد، فشار دهد و/یا حذف کند."

از آنجایی که شامل انتشار تصاویر تحت یک نام قانونی می‌شود، ما این موضوع را به‌عنوان یک ریسک زنجیره تأمین نرم‌افزار در نظر گرفتیم و آن را حیاتی ارزیابی کردیم.»

اگرچه این نقص بسیار مهم است، اما داکر خاطرنشان کرد که دسترسی به وب داکر هاب را فراهم نمی‌کند یا به مهاجمان اجازه نمی‌دهد گذرواژه‌ها، آدرس‌های ایمیل یا تنظیمات دو عاملی را تغییر دهند و به طور بالقوه دارندگان حساب قانونی را قفل می‌کنند.

این آسیب پذیری در 26 آگوست 2024 معرفی شد، زمانی که تبدیل شروع به تخصیص مجدد حساب شخصی PAT به مالک جدید کرد. این بدون لغو یا چرخاندن راز و بدون درخواست از مالک نامبرده برای تأیید تغییر رخ داده است.

در 30 سپتامبر 2026، Docker یک گزارش آسیب‌پذیری دریافت کرد که این مشکل را توصیف می‌کرد، آن را تأیید کرد و کمتر از چهار ساعت بعد یک اصلاح را برای تولید ارائه کرد.

داکر می‌گوید پس از بررسی 304000 فشار انجام شده با توکن‌های انتقال‌یافته و تجزیه و تحلیل تصاویر عمومی پرخطر، هیچ مدرکی مبنی بر بهره‌برداری پیدا نکرده است.

کاربران آسیب دیده و صاحبان سازمان در 2 اکتبر مطلع شدند و PATهای منتقل شده در 8 اکتبر غیرفعال شدند، به جز کسانی که مالکان آنها صریحا درخواست حفظ آنها را داشتند.

داکر می گوید کاربرانی که اعلان دریافت نکرده اند باید تصور کنند که تحت تأثیر قرار نگرفته اند و نیازی به انجام هیچ اقدامی ندارند.

این پلتفرم دیگر PAT ها را در حین تبدیل منتقل نمی کند و قبل از نامگذاری آنها به عنوان مالک سازمان، رضایت کاربر را درخواست می کند.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

SAP نسبت به حداکثر شدت نقص امنیتی OAuth2 SSRF هشدار می دهد

لجر کاشت تراشه جاسوسی را در پشت سرقت های رمزنگاری کیف پول تایید کرد

GitLab در مورد حداکثر شدت آسیب پذیری اجرای کد هشدار می دهد

بیشترین شدت نقص SonicWall SMA1000 اکنون در حملات مورد سوء استفاده قرار گرفته است

نقص‌های اصلاح‌نشده AhsayCBS برای استقرار پوسته‌های وب و استخراج رمزنگاری مورد سوء استفاده قرار می‌گیرند