Docker - CVE-2026-105445

Il s’agit d’une vulnérabilité dans la fonction de conversion d’un compte personnel en organisation de Docker Hub.

Docker Hub est un service en ligne de registre d’images de conteneurs édité par Docker. Il héberge des dépôts publics et privés d’images et gère les comptes, les organisations et les jetons d’accès. Il sert à publier, stocker et télécharger des images pour les environnements conteneurisés.

Depuis le 26 août 2024, cette conversion réassigne les jetons d’accès personnels (PAT) du compte converti au propriétaire désigné, sans renouveler ni révoquer le secret du jeton et sans notifier ni demander confirmation à ce propriétaire. Un attaquant authentifié crée un PAT sur un compte à lui, convertit ce compte et désigne la victime comme propriétaire. Le jeton, que l’attaquant détient toujours, s’authentifie au registre comme la victime, avec ses dépôts et ses appartenances à des organisations. Cet accès se limite au registre et n’ouvre ni l’interface web ni la modification du mot de passe, de l’e-mail ou du MFA.

Elle permet de lire, publier et supprimer des images au nom d’un autre utilisateur, avec un risque de compromission de la chaîne d’approvisionnement logicielle.