// AI 威脅新聞台 · 2026年10月14日
首頁/SUPPLY · AI 供應鏈
AI 供應鏈嚴重DOCKERCVSS 9.4

Docker Hub漏洞或令攻擊者冒充用戶發佈映像

Docker披露一項嚴重的Docker Hub漏洞，可能令攻擊者冒充用戶並以受信任名稱發佈映像。漏洞影響在帳戶轉換期間被轉移的個人存取權杖。

· 閱讀 2 分鐘
AI 生成圖像，非事件現場相片
AI 生成圖像，非事件現場相片。
重點
  • Docker披露一項嚴重的Docker Hub漏洞，可能令攻擊者冒充用戶，並以受信任名稱發佈容器映像。
  • Docker表示，漏洞影響在帳戶轉換期間被轉移的個人存取權杖。
  • Docker以內部測試帳戶重現漏洞，並在收到報告後不足4小時部署修補程式。

Docker表示，漏洞可能令攻擊者冒充用戶，並以受信任名稱發佈容器映像。Docker表示，漏洞影響在帳戶轉換期間被轉移的個人存取權杖。

視乎權杖權限及目標用戶的存取權限，攻擊者可能在個人儲存庫及已連接組織中提取、推送或刪除映像。Docker表示，漏洞不容許完全接管帳戶，亦未發現漏洞遭利用的證據。

The Hacker News形容Docker Hub是一個發佈及下載容器映像的登錄庫。該報道指，CVE紀錄給予該漏洞CVSS4.0評分9.4分。

本文目錄

Docker重現權杖漏洞並在不足4小時部署修補程式

Docker表示，mptrdev.com的研究人員Peter Molnar及Krisztian Hozak透過其漏洞披露計劃報告問題。公司以內部測試帳戶重現漏洞，並在收到報告後不足4小時部署修補程式。

在受影響流程下，個人存取權杖可能在帳戶轉換期間轉移。Docker表示，權杖權限及目標用戶的存取權限決定映像能否被提取、推送或刪除。

Docker移除帳戶轉換中的權杖轉移功能

Docker表示，其即時修補措施完全移除轉換期間的個人存取權杖轉移功能。公司亦開始要求用戶同意後，才可將該用戶指定為組織擁有人；當有關情況發生時通知該用戶，並記錄每次權杖擁有權變更的可審計歷史。

暴露期由2024年8月26日至2026年9月30日

Docker表示，暴露期於2024年8月26日世界協調時間20時33分開始，至2026年9月30日約世界協調時間19時10分結束。公司表示，已於10月8日停用已識別的轉移權杖，但權杖擁有人要求保留權杖的情況除外。

Docker表示，已檢視所有使用轉移權杖進行的推送，合共約304,000次。每次經檢視的推送均進入屬於已轉換組織或新擁有人的儲存庫。

Docker表示，已於10月8日停用其識別出的轉移權杖，但權杖擁有人要求保留權杖的情況除外。公司表示，已於10月2日通知每名帳戶可能受影響的用戶及組織擁有人。

Todd Matens表示，他已核實全部42個compose-lint映像，並追溯每個映像至建構該映像的持續整合執行工作。他表示已輪換權杖並將其分開，讓每項工作只獲得所需存取權限。

防守方現在要做甚麼

  1. 檢查你的權杖，撤銷任何你不認識或不再使用的權杖。
  2. 對屬於組織的自動化工作，使用組織存取權杖，而非單一人士的個人存取權杖。

常見問題

Docker Hub漏洞發生了甚麼事？

Docker披露一項影響在帳戶轉換期間被轉移的個人存取權杖的嚴重漏洞，可能令攻擊者冒充用戶，並以受信任名稱發佈容器映像。

誰報告Docker Hub漏洞？

mptrdev.com的Peter Molnar及Krisztian Hozak透過Docker的漏洞披露計劃報告問題。

Docker Hub漏洞曾否遭利用？

Docker表示，未發現漏洞遭利用的證據。

攻擊者可利用轉移的Docker權杖做甚麼？

視乎權杖權限及目標用戶的存取權限，攻擊者可能在個人儲存庫及已連接組織中提取、推送或刪除映像。Docker表示，漏洞不容許完全接管帳戶。

Docker如何修補權杖問題？

Docker移除帳戶轉換中的個人存取權杖轉移功能，並為權杖擁有權變更加入同意、通知及可審計紀錄。

來源

  1. Critical Docker Hub Flaw Lets Attackers Impersonate Users and Push Container Images, HKCERT原始文件
  2. Docker Hub Security Advisory: CVE-2026-105445 | Docker, Docker原始文件
  3. Docker Hub's access token vulnerability: how signing let me verify my images, Todd Matens原始文件
  4. Docker Fixes Critical Two-Year-Old Hub Flaw That Let One User Push Images as Another, The Hacker News
  5. Half of Docker Hub Images Feature Critical Flaws, Prevasio
  6. Half of all Docker Hub images have at least one critical vulnerability, CSOonline
  7. Two-thirds of Docker Hub images contain critical vulnerabilities, IT-Online
我們如何核實這篇報道
內容來源狀態
Docker披露一項嚴重的Docker Hub漏洞，可能令攻擊者冒充用戶，並以受信任名稱發佈容器映像。Docker, via HKCERT引述
Docker表示，漏洞影響在帳戶轉換期間被轉移的個人存取權杖。Docker, via HKCERT引述
Docker表示，視乎權杖權限及存取權限，漏洞可能令攻擊者在個人儲存庫及已連接組織中提取、推送或刪除映像。Docker, via HKCERT引述
Docker表示，漏洞不容許完全接管帳戶。Docker, via HKCERT引述
Docker表示，暴露期由2024年8月26日世界協調時間20時33分至2026年9月30日約世界協調時間19時10分。Docker, via HKCERT引述
mptrdev.com的研究人員Peter Molnar及Krisztian Hozak透過Docker的漏洞披露計劃報告問題。Docker, via HKCERT引述
Docker以內部測試帳戶重現漏洞，並在收到報告後不足4小時部署修補程式。Docker, via HKCERT引述
Docker表示，未發現漏洞遭利用的證據。Docker已證實
Docker檢視約304,000次使用轉移權杖進行的推送。Docker已證實
Docker發現，每次經檢視的推送均進入屬於已轉換組織或新擁有人的儲存庫。Docker已證實
Docker於10月8日停用轉移權杖，但擁有人要求保留權杖的情況除外。Docker, via The Hacker News引述
Docker的修補程式移除帳戶轉換中的個人存取權杖轉移功能，並加入同意、通知及擁有權變更紀錄。Docker已證實
Todd Matens表示，漏洞令一名用戶可透過個人存取權杖，以另一名用戶身分推送或提取映像。Todd Matens引述
Todd Matens核實全部42個compose-lint映像，並將每個映像追溯至建構該映像的持續整合執行工作。Todd Matens已證實
Todd Matens輪換權杖並將其分開，讓每項工作只獲得所需存取權限。Todd Matens已證實
The Hacker News表示，Docker Hub是發佈及下載容器映像的登錄庫。The Hacker News引述
Prevasio報告，51%的經掃描Docker Hub映像含有一項或多項嚴重漏洞。Prevasio引述
Prevasio識別出6,433個惡意或可能有害的映像，佔Docker Hub的0.16%。Prevasio, via CSOonline引述
加密貨幣挖礦程式佔Prevasio識別出的惡意映像44%。Prevasio, via CSOonline引述
Prevasio發現，23%的惡意映像在flatmap-stream npm套件中含有Bitcoin錢包竊取程式。Prevasio, via CSOonline引述
Prevasio發現，20%的惡意映像含有黑客工具，6.5%含有Windows惡意軟件。Prevasio, via CSOonline引述
Prevasio發現，部分容器映像含有經植入木馬程式的WordPress、Apache Tomcat及Jenkins版本。Prevasio, via CSOonline引述
Prevasio警告，動態載荷可能只在容器映像部署後下載及執行惡意程式碼。Prevasio, via CSOonline引述
Prevasio表示，動態載荷需要在沙盒中執行及監察映像的動態分析工具。Prevasio, via CSOonline引述
Sonatype報告，試圖從上游滲透開源軟件項目的攻擊按年增長430%。Sonatype, via CSOonline引述
Sonatype報告，Docker Hub過去一年新增220萬個容器映像，並預計映像提取請求將達960億次。Sonatype, via CSOonline引述
CSOonline表示，組織可透過選擇可靠發布者，並要求在部署期間及定期進行漏洞及配置掃描，降低Docker映像帶來的風險。CSOonline引述
Kaspersky Container Security發現，隨機掃描的100個Docker Hub映像中，有64個存在嚴重漏洞。Kaspersky Container Security, via IT-Online引述
Kaspersky Container Security發現，分析的Docker Hub映像只有十分之一完全保持最新。Kaspersky Container Security, via IT-Online引述
Kaspersky Container Security識別出不安全憑證、容器權限提升及缺少完整性檢查等配置風險。Kaspersky Container Security, via IT-Online引述
Kaspersky Container Security包括KIRA人工智能助理，可識別不安全配置及潛在漏洞，並建議修補方法。Kaspersky Container Security, via IT-Online引述
HKCERT於2026年10月13日發表報告。HKCERT已證實
docker.com於2026年10月12日發表報告。docker.com已證實
dev.to於2026年10月12日發表報告。dev.to已證實

未能核實

  • 除Docker審查後表示未發現證據外，是否有攻擊者利用漏洞尚未確定。
  • 受影響用戶及權杖的數量尚未確定。
  • 使用轉移權杖進行的提取或刪除是否遭濫用尚未確定。
  • 是否有任何惡意映像傳至下游用戶尚未確定。
cve
查看全部 AI 供應鏈 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok