- Docker披露了Docker Hub的一项严重漏洞，攻击者可利用该漏洞冒充用户，并以受信任的名称发布容器镜像。
- Docker表示，该漏洞影响账户转换期间转移的个人访问令牌。
- Docker使用内部测试账户复现了该漏洞，并在收到报告后不到4小时内部署了修复程序。
Docker表示，攻击者可能利用该漏洞冒充用户，并以受信任的名称发布容器镜像。Docker表示，该漏洞影响账户转换期间转移的个人访问令牌。
根据令牌权限和目标用户的访问权限，攻击者可以拉取、推送或删除个人仓库及关联组织中的镜像。Docker表示，该漏洞无法实现完整的账户接管，且没有证据表明该漏洞曾被利用。
The Hacker News将Docker Hub描述为发布和下载容器镜像的注册表。该报道称，CVE记录给出该漏洞的CVSS4.0评分为9.4分。
Docker复现令牌漏洞并在不到4小时内修复
Docker表示，mptrdev.com的研究人员Peter Molnar和Krisztian Hozak通过其漏洞披露计划报告了该问题。该公司使用内部测试账户复现了该漏洞，并在收到报告后不到4小时内部署了修复程序。
在受影响的流程中，个人访问令牌可能会在账户转换期间转移。Docker表示，能否拉取、推送或删除镜像取决于令牌权限和目标用户的访问权限。
Docker移除账户转换中的令牌转移
Docker表示，其即时修复完全移除了转换过程中的个人访问令牌转移。该公司还开始要求用户在被指定为组织所有者前给予同意，在发生这种情况时通知用户，并记录每次令牌所有权变更的可审计历史。
暴露窗口从2024年8月26日持续至2026年9月30日
Docker表示，暴露窗口始于2024年8月26日20:33UTC，结束于2026年9月30日约19:10UTC。该公司表示，已于10月8日停用已识别的转移令牌，但令牌所有者要求保留令牌的情况除外。
Docker表示，它检查了使用转移令牌进行的每次推送，总数约为304,000次。所有经过检查的推送都进入了属于转换后组织或新所有者的仓库。
Docker表示，它于10月8日停用了已识别的转移令牌，但令牌所有者要求保留令牌的情况除外。该公司表示，已于10月2日通知每名账户可能受到影响的用户和组织所有者。
Todd Matens表示，他验证了全部42个compose-lint镜像，并将每个镜像追溯到构建它的CI运行。他表示，自己轮换了令牌并将其分开，使每项作业只能获得所需的访问权限。
防守方现在要做什么
- 检查你的令牌，并撤销任何你不认识或不再使用的令牌。
- 对于属于组织的自动化任务，使用组织访问令牌，而不是某个人的个人访问令牌。
常见问题
Docker Hub漏洞发生了什么？
Docker披露了一项影响账户转换期间转移的个人访问令牌的严重漏洞，攻击者可能利用该漏洞冒充用户，并以受信任的名称发布容器镜像。
谁报告了Docker Hub漏洞？
mptrdev.com的Peter Molnar和Krisztian Hozak通过Docker的漏洞披露计划报告了该问题。
Docker Hub漏洞是否被利用？
Docker表示，没有证据表明该漏洞曾被利用。
攻击者可以利用转移的Docker令牌做什么？
根据令牌权限和目标用户的访问权限，攻击者可以拉取、推送或删除个人仓库及关联组织中的镜像。Docker表示，该漏洞无法实现完整的账户接管。
Docker如何修复令牌问题？
Docker移除了账户转换中的个人访问令牌转移，并为令牌所有权变更增加了同意、通知和可审计记录。
来源
- Critical Docker Hub Flaw Lets Attackers Impersonate Users and Push Container Images, HKCERT原始文件
- Docker Hub Security Advisory: CVE-2026-105445 | Docker, Docker原始文件
- Docker Hub's access token vulnerability: how signing let me verify my images, Todd Matens原始文件
- Docker Fixes Critical Two-Year-Old Hub Flaw That Let One User Push Images as Another, The Hacker News
- Half of Docker Hub Images Feature Critical Flaws, Prevasio
- Half of all Docker Hub images have at least one critical vulnerability, CSOonline
- Two-thirds of Docker Hub images contain critical vulnerabilities, IT-Online
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Docker披露了Docker Hub的一项严重漏洞，攻击者可利用该漏洞冒充用户，并以受信任的名称发布容器镜像。 | Docker, via HKCERT | 引述 |
| Docker表示，该漏洞影响账户转换期间转移的个人访问令牌。 | Docker, via HKCERT | 引述 |
| Docker表示，根据令牌权限和访问权限，该漏洞可让攻击者拉取、推送或删除个人仓库及关联组织中的镜像。 | Docker, via HKCERT | 引述 |
| Docker表示，该漏洞无法实现完整的账户接管。 | Docker, via HKCERT | 引述 |
| Docker表示，暴露窗口从2024年8月26日20:33UTC持续至2026年9月30日约19:10UTC。 | Docker, via HKCERT | 引述 |
| mptrdev.com的研究人员Peter Molnar和Krisztian Hozak通过Docker的漏洞披露计划报告了该问题。 | Docker, via HKCERT | 引述 |
| Docker使用内部测试账户复现了该漏洞，并在收到报告后不到4小时内部署了修复程序。 | Docker, via HKCERT | 引述 |
| Docker表示，没有证据表明该漏洞曾被利用。 | Docker | 已证实 |
| Docker检查了使用转移令牌进行的约304,000次推送。 | Docker | 已证实 |
| Docker发现，所有经过检查的推送都进入了属于转换后组织或新所有者的仓库。 | Docker | 已证实 |
| Docker于10月8日停用了转移令牌，但令牌所有者要求保留令牌的情况除外。 | Docker, via The Hacker News | 引述 |
| Docker的修复移除了账户转换中的个人访问令牌转移，并增加了同意、通知和所有权变更记录。 | Docker | 已证实 |
| Todd Matens表示，该漏洞可让一名用户通过个人访问令牌，以另一名用户的身份推送或拉取镜像。 | Todd Matens | 引述 |
| Todd Matens验证了全部42个compose-lint镜像，并将每个镜像追溯到构建它的CI运行。 | Todd Matens | 已证实 |
| Todd Matens轮换了令牌并将其分开，使每项作业只能获得所需的访问权限。 | Todd Matens | 已证实 |
| The Hacker News表示，docker Hub是发布和下载容器镜像的注册表。 | The Hacker News | 引述 |
| Prevasio报告称，扫描的Docker Hub镜像中有51%包含一个或多个严重漏洞。 | Prevasio | 引述 |
| Prevasio识别出6,433个恶意或潜在有害镜像，占Docker Hub的0.16%。 | Prevasio, via CSOonline | 引述 |
| 加密货币挖矿程序占Prevasio识别出的恶意镜像的44%。 | Prevasio, via CSOonline | 引述 |
| Prevasio发现，23%的恶意镜像在flatmap-stream npm包中包含比特币钱包窃取程序。 | Prevasio, via CSOonline | 引述 |
| Prevasio发现，20%的恶意镜像中含有黑客工具，6.5%中含有Windows恶意软件。 | Prevasio, via CSOonline | 引述 |
| Prevasio在一些容器镜像中发现了被植入木马的WordPress、Apache Tomcat和Jenkins版本。 | Prevasio, via CSOonline | 引述 |
| Prevasio警告，动态载荷可能仅在容器镜像部署后下载并执行恶意代码。 | Prevasio, via CSOonline | 引述 |
| Prevasio表示，动态载荷需要能够在沙箱中运行和监控镜像的动态分析工具。 | Prevasio, via CSOonline | 引述 |
| Sonatype报告称，试图从上游渗透开源软件项目的攻击同比增长430%。 | Sonatype, via CSOonline | 引述 |
| Sonatype报告称，Docker Hub在过去一年增加了220万个容器镜像，并预计镜像拉取请求将达到960亿次。 | Sonatype, via CSOonline | 引述 |
| CSOonline表示，组织可以通过选择可靠的发布者，并要求在部署期间及之后定期进行漏洞和配置扫描，降低Docker镜像带来的风险。 | CSOonline | 引述 |
| Kaspersky Container Security发现，随机扫描的100个Docker Hub镜像中有64个存在严重漏洞。 | Kaspersky Container Security, via IT-Online | 引述 |
| Kaspersky Container Security发现，分析的Docker Hub镜像中只有十分之一完全保持最新。 | Kaspersky Container Security, via IT-Online | 引述 |
| Kaspersky Container Security将不安全凭据、容器权限提升和缺少完整性检查识别为配置风险。 | Kaspersky Container Security, via IT-Online | 引述 |
| Kaspersky Container Security包含KIRA AI助手，用于识别不安全配置和潜在漏洞并建议修复方案。 | Kaspersky Container Security, via IT-Online | 引述 |
| HKCERT于2026年10月13日发布了报告。 | HKCERT | 已证实 |
| docker.com于2026年10月12日发布了报告。 | docker.com | 已证实 |
| dev.to于2026年10月12日发布了报告。 | dev.to | 已证实 |
未能核实
- 除Docker审查后未发现证据这一结论外，尚无法确定是否有攻击者利用了该漏洞。
- 尚无法确定有多少用户和令牌受到影响。
- 尚无法确定使用转移令牌进行的拉取或删除是否被滥用。
- 尚无法确定是否有恶意镜像到达下游用户。
