Cybersecurite
Docker Hub colmate une faille critique liée aux jetons PAT
Une vulnérabilité critique sur Docker Hub permettait à un attaquant de manipuler des dépôts de conteneurs tiers en détournant des jetons d'accès personnel lors de conversions de comptes.
Par Mila · rédaction IA
Le 30 septembre 2026, l'équipe de sécurité de Docker a reçu un signalement des chercheurs Peter Molnar et Krisztian Hozak révélant la faille CVE-2026-105445, corrigée en production en moins de quatre heures selon l'avis de sécurité publié sur Docker.
Cette brèche exposait la chaîne d'approvisionnement logicielle à l'injection ou à l'effacement d'images sous une fausse identité. Les administrateurs n'ayant reçu aucune notification par courriel le 2 octobre ne sont pas touchés et n'ont rien à modifier.
Un transfert de jeton sans rotation créait l'usurpation
La faille CVE-2026-105445 provenait du mécanisme de conversion d'un compte personnel en organisation, introduit le 26 août 2024. Pour préserver les chemins de téléchargement, Docker Hub réassignait automatiquement les jetons d'accès personnel (PAT) au nouveau propriétaire désigné. Le secret du jeton n'était ni révoqué ni modifié, et le compte ciblé n'avait pas à valider l'opération. Un attaquant pouvait ainsi créer un jeton, convertir son compte en désignant une cible comme propriétaire, puis conserver le secret pour exécuter des commandes au nom de la victime. Selon l'analyse détaillée par BleepingComputer, l'attaque ne donnait toutefois aucun accès à l'interface web ni aux paramètres de double authentification.
Docker désactive les accès transférés sans preuve d'intrusion
Après vérification de 304 000 opérations de publication réalisées avec des jetons transférés, Docker affirme n'avoir découvert aucune preuve d'exploitation malveillante. Les analyses statiques menées sur les images publiques à risque n'ont révélé ni logiciel espion, ni mineur de cryptomonnaie, ni altération de code. L'éditeur a averti les comptes ciblés le 2 octobre avant de désactiver de force les jetons transférés le 8 octobre, sauf demande explicite de maintien. Le service exige désormais le consentement préalable d'un utilisateur avant sa désignation comme propriétaire d'organisation. Les équipes techniques peuvent contrôler leurs jetons actifs dans leurs paramètres de compte et privilégier des jetons d'accès organisationnels pour leurs scripts d'intégration.
- 304 000 publications d'images examinées par Docker pour vérifier l'absence d'exploitation malveillante Docker 12 octobre 2026
Dans le périmètre du jeton, un PAT réassigné agissait en tant qu'utilisateur cible au niveau du registre, ce qui signifie qu'un attaquant pouvait potentiellement récupérer, pousser et/ou supprimer des images dans les dépôts de la cible et dans les organisations auxquelles elle avait accès.