Docker-Hub-Lücke: Kontoumwandlungen übergaben zwei Jahre lang Tokens an andere Nutzer
Victoria Shinder2 Min. LesezeitDocker hat einen Sicherheitshinweis zu CVE-2026-105445 veröffentlicht, einer Schwachstelle im Identitäts- und Zugriffsmanagement von Docker Hub, die das Unternehmen als Lieferkettenrisiko mit kritisch bewertet. Gemeldet wurde sie am 30. September 2026 über Dockers Programm zur Offenlegung von Schwachstellen von Peter Molnar und Krisztian Hozak (mptrdev.com); laut Docker war die Korrektur am selben Nachmittag in Produktion, weniger als vier Stunden nach der Meldung.
Der Mechanismus. Docker Hub erlaubt, ein persönliches Konto in eine Organisation umzuwandeln – der übliche Weg, ein Repository wie alice/app in Organisationsbesitz zu überführen, ohne bestehende Pulls zu brechen. Dabei benennt der Nutzer ein vorhandenes Konto als Eigentümer der neuen Organisation. Seit dem 26. August 2024 übertrug die Umwandlung auch die Personal Access Tokens (PATs) des umgewandelten Kontos an diesen Eigentümer, indem nur der Besitzereintrag geändert wurde – ohne das Geheimnis zu rotieren oder zu widerrufen und ohne den Benannten zu fragen oder zu informieren.
Was ein Angreifer tun konnte. Ein Konto anlegen, ein PAT erzeugen, das Konto in eine Organisation umwandeln und ein Ziel als Eigentümer benennen – und behielt ein gültiges Token, das sich nun als das Ziel an der Registry anmeldete. Im Rahmen des Token-Umfangs hieß das: Images in den Repositories des Ziels und in Organisationen, auf die es Zugriff hatte, ziehen, hochladen oder löschen, einschließlich Veröffentlichungen unter einem legitimen Namen. Zugriff auf die Weboberfläche gab es nicht, Passwort, E-Mail oder Zwei-Faktor-Einstellungen ließen sich nicht ändern.
Zeitfenster und Befund. Das Fenster reichte vom 26. August 2024 bis zur Korrektur am 30. September 2026. Docker hat nach eigenen Angaben jede Umwandlung seither mit Registry-Logs und Token-Einträgen abgeglichen, rund 304.000 Pushes mit übertragenen Tokens untersucht und keinen Hinweis auf Ausnutzung gefunden: Jeder dieser Pushes landete in Repositories der umgewandelten Organisation oder des neuen Eigentümers selbst. Docker benennt die Grenze dieses Befunds: Logs zeigen, wann ein Token benutzt wird, nicht dass es existiert – deshalb galt jedes übertragene PAT als potenziell betroffen.
Was getan wurde. Betroffene Nutzer und Organisationseigentümer wurden am 2. Oktober per E-Mail informiert; übertragene PATs wurden am 8. Oktober zwangsweise deaktiviert, außer bei Widerspruch der Inhaber. Die Umwandlung überträgt keine PATs mehr, und Docker kündigt an, vor der Benennung als Organisationseigentümer eine Zustimmung einzuholen, Besitzwechsel von Tokens prüfbar zu protokollieren und andere Abläufe mit Wechsel von Zugangsdaten zu prüfen.
Was Nutzer tun sollten. Wer die E-Mail vom 2. Oktober nicht erhalten hat, war laut Docker nicht betroffen. Alle sollten unter Account settings ihre PATs prüfen und unbekannte oder ungenutzte widerrufen; Automatisierung, die einer Organisation gehört, sollte Organization Access Tokens statt eines persönlichen PATs nutzen.
Quelle: Docker, „Docker Hub security advisory: personal access tokens transferred during account-to-organization conversions“ — https://www.docker.com/blog/docker-hub-security-advisory-cve-2026-105445