Docker, İki Yıldır Süren Kritik Hatasını Düzeltti

Docker Hub, konteyner görüntülerinin yayımlandığı ve indirildiği bir kayıt yeri olarak, kullanıcıların başka birinin hesabı üzerinden görüntü yüklemesine, silmesine veya indirmesine olanak tanıyan kritik bir hatayı düzeltti. Bu hata, 30 Eylül 2023 tarihinde giderildi ve Docker, bu hatanın kötüye kullanıldığına dair herhangi bir kanıt bulamadığını açıkladı.

Hatanın Detayları

Docker, bu açığın, kişisel bir hesabın bir organizasyona dönüştürülmesi sırasında ortaya çıktığını belirtti. Hesap dönüşümü, kişisel erişim belirteçlerinin (PAT) organizasyonun sahibi olarak belirlenen kullanıcıya aktarılmasına neden oluyordu. PAT, kayıt yerinde şifre yerine kullanılan bir belirteçtir ve bu belirteci oluşturan kişi, onu kullanmaya devam edebilir.

Hatanın etkileri, yalnızca kayıt yeri ile sınırlıydı. Docker Hub web arayüzüne erişim sağlamıyor ve şifre, e-posta adresi veya iki faktörlü ayarları değiştirmeye imkan tanımıyordu. Docker, bu hatayı CVE-2026-105445 kodu ile takip ediyor ve kritik olarak değerlendiriyor.

Hatanın Süresi ve Düzeltme Süreci

Bu güvenlik açığı, 26 Ağustos 2024 tarihinden itibaren açık kalmış ve düzeltme 30 Eylül 2023'te yapılmıştır. Docker, hatayı doğrudan Docker Hub üzerinde düzelttiği için kullanıcıların herhangi bir güncelleme yapması gerekmiyor.

Docker Hub, bir depoyu bir hesaptan diğerine taşıyamaz. Bunun yerine, kullanıcı kişisel hesabını aynı isimle bir organizasyona dönüştürmekte ve mevcut bir hesabı sahibi olarak belirlemektedir. Her bir kişisel erişim belirteci, oluşturulduğu anda seçilen izin seviyesinde işlem görmektedir.

Hatanın Potansiyel Kötüye Kullanımı

Söz konusu hata, bir saldırganın kontrolündeki bir hesapta bir belirteç oluşturup, bu hesabı bir organizasyona dönüştürüp başka bir kullanıcıyı sahibi olarak belirlemesi durumunda kötüye kullanılabilirdi. Bu durumda, belirteç o kullanıcı olarak kayıt yerinde çalışacaktı.

Docker, hatanın açık olduğu süre zarfında yapılan tüm hesap dönüşümlerini inceledi ve bu dönüşümlerle ilgili her türlü kaydı kontrol etti. Yaklaşık 304,000 transfer edilen belirteç üzerinde inceleme yaptı ve kötüye kullanım tespit edemedi.

Kullanıcıların Alması Gereken Önlemler

Docker, kullanıcıların belirteçlerini gözden geçirmelerini, tanımadıkları veya artık kullanmadıkları belirteçleri iptal etmelerini ve organizasyonun otomasyonu için kişisel PAT yerine organizasyon erişim belirteçleri kullanmalarını öneriyor. Kullanıcılar, hesap ayarlarından kişisel erişim belirteçlerini kontrol edebilir ve her bir belirtecin ne zaman oluşturulduğunu ve en son ne zaman kullanıldığını görebilirler.

Docker, 2 Ekim'de, transfer edilen belirteçlere sahip olan kullanıcılarla ve ilgili organizasyonların sahipleriyle iletişime geçti. Kullanıcılar, aldıkları e-postalarda belirteçlerin açıklamaları ve oluşturulma tarihleri hakkında bilgi buldular.

Ne Anlama Geliyor?

Docker'ın bu kritik açığı düzeltmesi, kullanıcıların hesap güvenliğini artırmakta önemli bir adım olarak değerlendirilmektedir. Kullanıcıların belirteçlerini düzenli olarak gözden geçirmeleri ve güvenlik önlemlerini sıkı tutmaları, potansiyel saldırılara karşı korunmalarını sağlayacaktır.