Docker a corrigé une vulnérabilité critique de Docker Hub qui permettait à un attaquant d'utiliser un jeton d'accès personnel (PAT) pour usurper l'identité d'un autre utilisateur auprès du registre de conteneurs et modifier des images publiées sous des noms légitimes.
Le problème, référencé CVE-2026-105445, touchait la procédure de conversion d'un compte personnel Docker Hub en organisation. Selon le périmètre du jeton et les permissions de l'utilisateur ciblé, un attaquant pouvait tirer, pousser ou supprimer des images dans les dépôts accessibles à cet utilisateur.
Docker a reçu le rapport de vulnérabilité et a déployé un correctif en production le 30 septembre 2026, achevant la correction en moins de quatre heures, selon un rapport de BleepingComputer publié le 13 octobre 2026.
La conversion du compte réattribuait les jetons sans consentement
La faille remonte au 26 août 2024, date à laquelle Docker Hub a commencé à transférer le PAT existant d'un compte au propriétaire désigné lors de sa conversion en organisation.
Le secret du jeton n'a été ni modifié ni révoqué, et la personne choisie comme propriétaire de l'organisation n'avait pas à approuver cette attribution.
Dans le scénario d'attaque décrit par Docker, un attaquant pouvait :
- créer un compte Docker Hub et générer un PAT ;
- convertir ce compte en organisation ;
- désigner la victime visée comme propriétaire de l'organisation ;
- continuer à utiliser le PAT d'origine, que Docker Hub considérait désormais comme appartenant à la victime.
L'usurpation s'exerçait au niveau du registre et non via l'interface web de Docker Hub. Docker précise que ce jeton n'offrait pas d'accès web au compte de la cible et ne permettait pas de modifier son mot de passe, son adresse e-mail ni ses paramètres d'authentification à deux facteurs.
Malgré ces limites, les permissions du registre représentaient un risque important pour la chaîne d'approvisionnement. Un jeton transféré pouvait agir sur les dépôts de la cible — et sur les dépôts des organisations auxquelles la cible avait accès — dans les limites du périmètre du PAT et des permissions existantes de la victime. Cela incluait la publication d'images modifiées sous une identité établie.
Docker a modifié la conversion et désactivé les PAT transférés
Docker Hub ne transmet plus les PAT lorsqu'un compte personnel est converti en organisation. Le service exige désormais que l'utilisateur donne son consentement avant de pouvoir être désigné propriétaire d'une organisation.
Docker a notifié les utilisateurs et les propriétaires d'organisations concernés le 2 octobre. Le 8 octobre, l'entreprise a désactivé les PAT transférés, sauf si leurs propriétaires avaient explicitement demandé qu'ils restent actifs.
Selon les recommandations de Docker, les utilisateurs qui n'ont pas reçu de notification doivent considérer qu'ils ne sont pas concernés et n'ont pas besoin d'agir.
L'examen n'a révélé aucun signe d'exploitation
Docker affirme avoir examiné 304 000 envois (push) effectués avec des jetons transférés et analysé les images publiques qu'elle classait à haut risque. L'entreprise indique n'avoir trouvé aucun élément prouvant que des attaquants aient exploité la CVE-2026-105445.
Ce chiffre correspond à des opérations de publication examinées, et non au nombre d'utilisateurs, de comptes ou d'organisations touchés. La conclusion de Docker repose sur sa propre enquête, telle que rapportée dans l'article du 13 octobre.
