Docker Hub'daki kritik güvenlik açığı kullanıcıları tehlikeye attı

Docker, Docker Hub platformunda tespit edilen kritik bir güvenlik açığını (CVE-2026-105445) duyurdu. Bu açık, saldırganların kişisel erişim token'ı (PAT) kullanarak başka bir kullanıcının konteyner depolarına erişmelerine olanak sağlıyordu. Docker Hub, uygulamaların izole bir ortamda çalışması için gerekli her şeyi paketleyen konteyner görüntülerini depolamak, paylaşmak ve indirmek için kullanılan çevrimiçi bir kayıttır.

Kişisel Erişim Token'ının Önemi

Docker Hub'da PAT, araçları ve iş akışlarını kimlik doğrulamak için kullanılan bir gizli anahtar işlevi görmektedir. Bu token, kullanıcıların konteyner görüntülerini çekmesine, yüklemesine veya silmesine olanak tanır. Ancak, Docker ekibinin güvenlik bültenine göre, bir saldırgan bir hesap ve PAT oluşturduktan sonra, bu hesabı bir organizasyona dönüştürüp hedef kullanıcıyı o organizasyonun sahibi olarak atayabiliyordu.

Açığın Etkileri ve Çözüm Süreci

CVE-2026-105445 açığı, Docker Hub'ın kişisel erişim token'ını hedef kullanıcının rızası olmadan yeni organizasyon sahibine devretmesinden kaynaklanıyor. Bu durum, saldırganların token'ı kullanarak hedef kullanıcı gibi kimlik doğrulaması yapabilmesine yol açtı. Token'ın kapsamı ve hedef kullanıcının izinlerine bağlı olarak, saldırganlar hedef kullanıcının depolarındaki görüntüleri çekebilir, yükleyebilir veya silebilirdi.

Docker, bu açığın yazılım tedarik zinciri riski taşıdığını belirterek durumu kritik olarak değerlendirdi. Ancak, bu açığın Docker Hub web erişimi sağlamadığı ve saldırganların şifreleri, e-posta adreslerini veya iki faktörlü ayarları değiştirmelerine olanak tanımadığı belirtildi.

Açığın Tarihçesi ve Düzeltme Adımları

Açığın etkisi 26 Ağustos 2024 tarihinde başladı, bu tarihte kişisel hesap PAT'ları yeni sahiplerine devredilmeye başlandı. Değişikliğin onaylanmadan gerçekleşmesi, ciddi bir güvenlik riski oluşturdu. 30 Eylül 2026'da Docker, bu güvenlik açığına dair bir rapor aldı ve durumu doğruladıktan sonra, dört saatten kısa bir süre içinde bir düzeltme yayınladı.

Docker, 304.000'den fazla transfer edilmiş token ile yapılan gönderimleri incelediğinde herhangi bir istismar kanıtı bulamadı. Etkilenen kullanıcılar ve organizasyon sahipleri 2 Ekim'de bilgilendirildi ve devredilen PAT'lar 8 Ekim'de devre dışı bırakıldı. Kullanıcılar, bildirim almadılarsa etkilenmediklerini varsayabilirler.

Gelecekteki Güvenlik Önlemleri

Docker, artık dönüşüm sırasında PAT'ların transfer edilmediğini ve kullanıcı rızası olmadan organizasyon sahibi olarak atama yapılmadığını duyurdu. Bu durum, kullanıcıların güvenliğini artırmak amacıyla atılan önemli bir adım olarak değerlendiriliyor.

Sonuç olarak, Docker Hub'daki bu güvenlik açığı, kullanıcıların verilerinin güvenliğini tehdit eden önemli bir durumdu. Docker’ın hızlı müdahalesi, potansiyel istismarları önlemiş olsa da, kullanıcıların dikkatli olmaları ve güvenlik önlemlerini sürekli gözden geçirmeleri önemlidir.