Docker Hub'da iki yılı aşkın süre boyunca aktif olan kritik bir güvenlik açığı, 30 Eylül'de kapatıldı. Açık, bir kullanıcının kişisel erişim tokenini (PAT) başka bir kullanıcı kimliğiyle çalıştırmasına izin veriyor; bu sayede hedef kullanıcı adına imaj yükleme, çekme veya silme işlemi yapılabiliyordu. Docker, 12 Ekim'de yayımladığı güvenlik duyurusunda açığın istismar edildiğine dair herhangi bir kanıt bulunmadığını açıkladı.
Bir saldırgan bu açığı şu şekilde kullanabilirdi: Kendi kontrolündeki bir hesapta token oluşturur, ardından o hesabı organizasyona dönüştürür ve hedef aldığı başka bir kullanıcıyı organizasyonun sahibi olarak atardı. Bu işlemin ardından token, Docker kayıt sisteminde hedef kullanıcı kimliğiyle çalışmaya başlıyordu. Üstelik hedef kullanıcıya herhangi bir onay sorulmadığı gibi bildirim de gönderilmiyordu.
Erişim yalnızca Docker kayıt sistemiyle sınırlıydı. Docker Hub web arayüzüne ulaşmak, şifre veya e-posta adresi değiştirmek ya da iki faktörlü kimlik doğrulama ayarlarını düzenlemek mümkün değildi. Docker, açığı CVE-2026-105445 koduyla takip etti ve CVSS 4.0 puanını 9,4 olarak belirledi. Bu puan açığı kritik kategorisine yerleştiriyor.
Docker, açığın aktif olduğu süre içinde gerçekleştirilen tüm hesap dönüşümlerini inceledi. Kayıt sistemi günlükleri ve token kayıtlarıyla karşılaştırılan bu incelemede, aktarılan tokenlarla yapılan yaklaşık 304.000 push işlemi tek tek değerlendirildi. Şirkete göre bu işlemlerin tamamı dönüştürülen organizasyona ya da organizasyonun adlandırılmış sahibine ait depolara gidiyordu. Büyük çoğunluğunda her iki hesap da aynı kişi veya ekibe aitti. Tek bir kişinin her iki hesabı da kontrol ettiği doğrulanamayan durumlarda ise yüksek riskli genel imajlar çalıştırılmadan analiz edildi ve herhangi bir kötü amaçlı yazılım ya da müdahale izine rastlanmadı.
Docker, kayıt günlüklerinin bir tokenın kullanıldığı zamanı kaydettiğini ancak tokenın yalnızca var olmasını kaydetmediğini belirtti. Bu nedenle dönüşüm sırasında aktarılan ama hiç kullanılmayan tokenlar günlüklerde iz bırakmadı. Şirket bu yüzden, açığın aktif olduğu dönemde aktarılan tüm tokenları kullanılıp kullanılmadığından bağımsız olarak etkilenmiş kabul etti. Duyuruda, aktarılan tokenlarla gerçekleştirilen pull veya silme işlemlerine ilişkin bulgulara yer verilmedi.
Docker Hub yayıncısı Todd Matens, 2 Ekim'de iki ayrı e-posta aldığını bir blog yazısında aktardı. Matens, iki CI tokenını yeniledi ve yayımladığı 42 imajın imzalarını kontrol ederek her birini oluşturulduğu CI çalışmasına kadar izledi.
Docker, kullanıcılara şu adımları öneriyor: Hesap ayarlarından kişisel erişim tokenlarını gözden geçirin, tanımadığınız veya artık kullanmadığınız tokenları iptal edin ve bir organizasyona ait otomasyonlarda bireysel PAT yerine organizasyon erişim tokenı kullanın. Organizasyon erişim tokenları Docker Team veya Docker Business aboneliği gerektiriyor. Organizasyon sahipleri, etkinlik günlüklerinden geçmiş push işlemlerini inceleyebilir; Docker Home bu günlükleri 30 gün boyunca saklıyor, daha eski kayıtlara ise Docker Hub API aracılığıyla erişilebiliyor.
Docker, artık bir kullanıcının organizasyon sahibi olarak atanabilmesi için onayının alınmasını zorunlu kıldığını, bu değişikliğin kullanıcıya bildirildiğini ve token sahipliğindeki her değişikliğin kayıt altına alındığını duyurdu. Şirket ayrıca kimlik bilgisi sahipliğini değiştiren diğer özellikleri de gözden geçirdiğini belirtti.
Açık Nasıl Çalışıyordu?
Sorun, Docker Hub'ın kişisel hesabı organizasyona dönüştürme özelliğinde yatıyordu. Bu dönüşüm sırasında hesaba ait kişisel erişim tokenları, organizasyonun sahibi olarak belirlenen kullanıcıya aktarılıyordu. Ancak tokenların şifreli değeri değişmeden kalıyordu; yani tokenı oluşturan kişi, artık başka birine ait kayıtlara sahip olan bu tokenı kullanmaya devam edebiliyordu.Bir saldırgan bu açığı şu şekilde kullanabilirdi: Kendi kontrolündeki bir hesapta token oluşturur, ardından o hesabı organizasyona dönüştürür ve hedef aldığı başka bir kullanıcıyı organizasyonun sahibi olarak atardı. Bu işlemin ardından token, Docker kayıt sisteminde hedef kullanıcı kimliğiyle çalışmaya başlıyordu. Üstelik hedef kullanıcıya herhangi bir onay sorulmadığı gibi bildirim de gönderilmiyordu.
Erişim yalnızca Docker kayıt sistemiyle sınırlıydı. Docker Hub web arayüzüne ulaşmak, şifre veya e-posta adresi değiştirmek ya da iki faktörlü kimlik doğrulama ayarlarını düzenlemek mümkün değildi. Docker, açığı CVE-2026-105445 koduyla takip etti ve CVSS 4.0 puanını 9,4 olarak belirledi. Bu puan açığı kritik kategorisine yerleştiriyor.
Açığın Kapsamı ve Zaman Çizelgesi
Docker'ın kendi belgelerine göre açık, 26 Ağustos 2024'ten 30 Eylül 2025'e kadar yaklaşık 25 ay boyunca açık kaldı. Düzeltme doğrudan Docker Hub altyapısında yapıldığından kullanıcıların herhangi bir güncelleme yüklemesi gerekmiyor.Docker, açığın aktif olduğu süre içinde gerçekleştirilen tüm hesap dönüşümlerini inceledi. Kayıt sistemi günlükleri ve token kayıtlarıyla karşılaştırılan bu incelemede, aktarılan tokenlarla yapılan yaklaşık 304.000 push işlemi tek tek değerlendirildi. Şirkete göre bu işlemlerin tamamı dönüştürülen organizasyona ya da organizasyonun adlandırılmış sahibine ait depolara gidiyordu. Büyük çoğunluğunda her iki hesap da aynı kişi veya ekibe aitti. Tek bir kişinin her iki hesabı da kontrol ettiği doğrulanamayan durumlarda ise yüksek riskli genel imajlar çalıştırılmadan analiz edildi ve herhangi bir kötü amaçlı yazılım ya da müdahale izine rastlanmadı.
Docker, kayıt günlüklerinin bir tokenın kullanıldığı zamanı kaydettiğini ancak tokenın yalnızca var olmasını kaydetmediğini belirtti. Bu nedenle dönüşüm sırasında aktarılan ama hiç kullanılmayan tokenlar günlüklerde iz bırakmadı. Şirket bu yüzden, açığın aktif olduğu dönemde aktarılan tüm tokenları kullanılıp kullanılmadığından bağımsız olarak etkilenmiş kabul etti. Duyuruda, aktarılan tokenlarla gerçekleştirilen pull veya silme işlemlerine ilişkin bulgulara yer verilmedi.
Açığı Bulanlar: GhostPat
Açığı mptrdev.com'dan Peter Molnar ve Krisztian Hozak keşfederek Docker'a bildirdi. İkili, açığa GhostPat adını verdi. Teknik yazılarında açığı rıza gösteren test hesapları üzerinde iki kez yeniden ürettiklerini aktardılar. Bu testlerde hedef hesap adına kayıt sistemine giriş yaptıklarını, hedefin ad alanında depo oluşturup imaj yüklediklerini, hedefin üye olduğu bir organizasyona imaj gönderdiklerini ve hedefin özel depolarını çektiklerini belirttiler. Docker, raporu aldıktan dört saatten kısa bir süre içinde düzeltmeyi yayımladığını açıkladı.Etkilenen Kullanıcılara Bildirim ve Alınması Gereken Önlemler
Docker, 2 Ekim'de aktarılmış token alan kullanıcılara ve ilgili organizasyon sahiplerine ayrı ayrı e-posta gönderdi. E-postalarda tokenlar açıklama ve oluşturulma tarihine göre listelendi. Docker, bu bildirimi almayan kullanıcıların etkilenmediğini ve herhangi bir işlem yapmasına gerek olmadığını belirtti. 8 Ekim'de ise tespit edilen aktarılmış tokenlar devre dışı bırakıldı; sahiplerinin saklamasını talep ettiği tokenlar bu işlemin dışında tutuldu.Docker Hub yayıncısı Todd Matens, 2 Ekim'de iki ayrı e-posta aldığını bir blog yazısında aktardı. Matens, iki CI tokenını yeniledi ve yayımladığı 42 imajın imzalarını kontrol ederek her birini oluşturulduğu CI çalışmasına kadar izledi.
Docker, kullanıcılara şu adımları öneriyor: Hesap ayarlarından kişisel erişim tokenlarını gözden geçirin, tanımadığınız veya artık kullanmadığınız tokenları iptal edin ve bir organizasyona ait otomasyonlarda bireysel PAT yerine organizasyon erişim tokenı kullanın. Organizasyon erişim tokenları Docker Team veya Docker Business aboneliği gerektiriyor. Organizasyon sahipleri, etkinlik günlüklerinden geçmiş push işlemlerini inceleyebilir; Docker Home bu günlükleri 30 gün boyunca saklıyor, daha eski kayıtlara ise Docker Hub API aracılığıyla erişilebiliyor.
Docker, artık bir kullanıcının organizasyon sahibi olarak atanabilmesi için onayının alınmasını zorunlu kıldığını, bu değişikliğin kullanıcıya bildirildiğini ve token sahipliğindeki her değişikliğin kayıt altına alındığını duyurdu. Şirket ayrıca kimlik bilgisi sahipliğini değiştiren diğer özellikleri de gözden geçirdiğini belirtti.
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.