Foi identificada uma vulnerabilidade crítica (CVE-2026-105445) no Docker Hub, que possibilita a atacantes acessarem repositórios de contêiner de outros usuários utilizando um personal access token (PAT). O Docker Hub é um registro online para armazenamento e compartilhamento de imagens de contêiner, e o PAT é utilizado para autenticar ferramentas e fluxos de trabalho. A falha permite que um atacante crie uma conta e um PAT, converta a conta em uma organização e nomeie um usuário alvo como proprietário, sem consentimento ou revogação do token original.
Os atacantes podem, dependendo do escopo do token e das permissões do alvo, puxar, enviar ou excluir imagens nos repositórios do usuário afetado. A vulnerabilidade foi introduzida em 26 de agosto de 2024, e o problema foi confirmado em 30 de setembro de 2026, com uma correção sendo implementada em menos de quatro horas após o relatório de vulnerabilidade.
Embora a falha seja crítica, a Docker não encontrou evidências de exploração ativa após analisar 304 mil envios realizados com tokens transferidos. Usuários afetados foram notificados em 2 de outubro, e os PATs transferidos foram desativados em 8 de outubro. A partir de agora, o Docker Hub não transfere mais PATs durante a conversão e solicita consentimento do usuário antes de nomeá-los como proprietários de organizações.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews