Docker Hub, konteyner imajlarının yayınlandığı ve indirildiği kayıt defterinde bir açık vardı. Bu açık bir kullanıcının başka bir kullanıcı adına imaj göndermesine, çekmesine ya da silmesine izin veriyordu. Docker açığı 30 Eylül’de kapattı ve istismar edildiğine dair kanıt bulmadığını söylüyor.
Açık, kişisel hesabın kuruluşa dönüştürülmesi özelliğindeydi. Docker’ın 12 Ekim tarihli güvenlik duyurusuna göre dönüşüm, hesabın kişisel erişim belirteçlerini kuruluşun sahibi olarak atanan kullanıcıya aktarıyordu. Kişisel erişim belirteci kayıt defterinde şifre yerine kullanılır ve belirteci oluşturan kişi belirteci kullanmaya devam eder.
Erişim kayıt defteriyle sınırlıydı. Docker Hub web arayüzüne ulaşmıyordu ve şifre, e-posta adresi ya da iki faktörlü ayarların değiştirilmesine ya da hesabın ele geçirilmesine olanak vermiyordu.
Docker açığı CVE-2026-105445 olarak izliyor ve kritik olarak sınıflandırıyor. 13 Ekim’de yayımlanan CVE kaydına göre açığın CVSS 4.0 skoru 9.4.
Açık 26 Ağustos 2024’ten düzeltmenin yapıldığı güne kadar, biraz üzerinde iki yıl açık kaldı. Docker düzeltmeyi Docker Hub’ın kendisinde yaptı, kurulacak bir güncelleme yok.
Docker Hub bir deposu bir hesaptan diğerine taşıyamaz. Kullanıcı bunun yerine kişisel hesabını aynı isimle kalan bir kuruluşa dönüştürür ve mevcut bir hesabı kuruluşun sahibi olarak adlandırması gerekir.
Her kişisel erişim belirteci, oluşturulurken seçilen izin seviyesinde belirtecin sahibi olan hesabı temsil eder. Açık açıkken dönüşüm, her belirteç için kaydedilen sahibi değiştiriyor, belirtecin gizli anahtarını ise aynı bırakıyordu.
Saldırgan bunu şöyle kötüye kullanabilirdi: Kontrol ettiği bir hesapta belirteç oluşturur, o hesabı kuruluşa dönüştürür ve başka bir kullanıcıyı sahibi olarak adlandırır. Belirteç böylece kayıt defterinde o kullanıcı adına çalışır.
Adı geçen sahip değişikliği onaylamaya çağrılmadı ve bilgilendirilmedi. Docker’a ve açığı bildiren araştırmacılara göre dönüşüm sayfasında en az Ağustos 2024’ten beri “Yeni sahip bir bildirim e-postası alır” cümlesi yer alıyordu.
Belirtecin izin seviyesi dahilinde aktarılan belirteç, adlandırılan sahibin depolarındaki ve erişebildiği kuruluşlardaki imajları çekebilir, gönderebilir ya da silebilir.
Docker açığı kritik olarak değerlendirdi çünkü bu erişim “meşru bir isim altında imaj yayımlamayı” içeriyor.
Mart ve Nisan aylarında saldırganlar çalınan yayınevi kimlik bilgileriyle kötü amaçlı Trivy imajlarını ve kötü amaçlı KICS imajlarını yayınevlerinin kendi Docker Hub depolarına gönderdi.
Açığı mptrdev.com’dan Peter Molnar ve Krisztian Hozak buldu ve Docker’a bildirdi. Docker, bildirimden dört saatten az sürede düzeltmeyi devreye aldığını söylüyor. İkili açığa GhostPat adını verdi.
Teknik yazılarında iki kez gönüllü test hesaplarında açığı yeniden ürettiklerini belirtiyorlar. Hedef hesap olarak kayıt defterine giriş yaptılar, ad alanında bir depo oluşturup imaj gönderdiler, ait olduğu bir kuruluşa gönderim yaptılar ve özel depolarını çektiler.
Docker’ın İncelemesi Ne Kapsadı
Docker, açığın açık olduğu sürede yapılan her hesap dönüşümünü inceledi ve kayıt defteri günlükleriyle belirteç kayıtlarını karşılaştırdı. Tek bir belirtecin birden fazla kimlik altında kullanılıp kullanılmadığını araştırdı ve aktarılan bir belirteçle yapılan her gönderimi inceledi; toplamda yaklaşık 304 bin gönderim.
“Açığın istismar edildiğine dair kanıt bulmadık” dedi şirket.
Docker’a göre bu gönderimlerin her biri dönüştürülen kuruluşa ait bir depoya ya da adlandırılan sahibine gitti. Büyük çoğunlukta her iki hesap da aynı kişi ya da ekibe aitti.
Bir kişinin her iki hesabı da kontrol ettiğini doğrulayamadığı durumlarda Docker, en yüksek riskli genel imajları çalıştırarak analiz etti ve kötü yazılım ya da oynama bulmadı.
Docker’ın kayıt defteri günlükleri bir belirtecin kullanıldığı zamanı gösterir, varlığını değil. Bu nedenle dönüşümle aktarılan ve hiç kullanılmayan bir belirteç günlükte kayıt bırakmaz. Docker bu yüzden açığın açık olduğu sürede bir dönüşümle aktarılan her belirteci, kullanılmış olsun ya da olmasın, muhtemelen etkilenmiş olarak değerlendirdi.
Duyuruda gönderimler için sonuçlar raporlanıyor. Aktarılan belirteçlerle yapılan çekme ya da silme işlemleri, özel depolardan çekmeler dahil, ne bulunduğuna dair bilgi verilmiyor.
Kime Bildirildi ve Ne Kontrol Edilmeli
2 Ekim’de Docker, hesaplarına aktarılmış belirteç alan kullanıcılara e-posta gönderdi ve ayrı olarak ilgili kuruluşların sahiplerine bildirim yaptı. Her e-postada belirteçler açıklama ve oluşturulma tarihiyle listelendi.
Duyuruda bu grubun kaç kullanıcı ya da belirteci kapsadığı belirtilmiyor, sadece “sınırlı sayıda” kullanıcıdan söz ediliyor.
Docker’a göre e-posta almayanlar etkilenmedi ve bir şey yapmalarına gerek yok.
8 Ekim’de Docker, tespit ettiği aktarılmış belirteçleri devre dışı bıraktı. Sahiplerinin tutmalarını istediği belirteçler devre dışı bırakılmadı.
Docker Compose denetleyicisi compose-lint’i yayımlayan Todd Matens, 2 Ekim’de iki e-posta aldığını yazdı. Biri kuruluş sahibi olarak, diğeri kullanıcı hesabına gönderilmişti. İki CI belirtecini yeniledi ve yayımladığı 42 imajın imzalarını kontrol ederek her birini oluşturan CI çalışmasına kadar izledi.
Docker kullanıcılara belirteçlerini gözden geçirmelerini, tanımadıkları ya da artık kullanmadıkları belirteçleri iptal etmelerini ve kuruluşa ait otomasyon için bir kişinin kişisel erişim belirtecini değil, kuruluş erişim belirtecini kullanmalarını öneriyor.
Bu kontroller için şu ayrıntılar yardımcı oluyor:
Hesap ayarlarını açın, ardından Kişisel erişim belirteçleri. Listede her belirtecin oluşturulma zamanı ve son kullanım zamanı gösterilir.
Araştırmacılar iki iz sürme yöntemi anlatıyor. Biri sizin oluşturmadığınız bir belirteç, adı ne olursa olsun; çünkü belirteci oluşturan kişi açıklamasını seçer. Diğeri, hesap değiştiricide hatırlamadığınız bir kuruluş.
Kuruluş erişim belirteçleri Docker Team ya da Docker Business aboneliği gerektirir. Bunlar kuruluş sahibi, şirket sahibi ya da bu izne sahip özel bir rol tarafından yönetilir ve Docker Desktop ya da Image Access Management ile çalışmaz.
Bu aboneliklerdeki kuruluş sahipleri, etkinlik günlüklerinde geçmiş gönderimleri gözden geçirebilir; günlükler gönderilen etiketleri kaydeder ve gönderimi yapan belirteci gösterebilir. Docker Home’da günlükler 30 gün tutulur, daha eski kayıtlar Docker Hub API üzerinden erişilebilir.
Docker’ın Dokümantasyonu Transferi Anlatıyordu
Docker’ın kendi dokümantasyonu, açığın açık olduğu yaklaşık 25 ayın 17’si boyunca belirteç transferini anlatıyordu. 22 Nisan 2025’te yapılan bir dokümantasyon değişikliğiyle dönüşüm sayfasına bir not eklendi. Kullanıcıyı kuruluş sahibi olarak adlandırmanın “kullanıcının hesabıyla ilişkili tüm kişisel erişim belirteçlerinin kuruluş sahibine aktarılmasını sağlayacağı” yazıyordu.
Docker notu 30 Eylül’de, verdiği düzeltme zamanı olan saatten birkaç dakika sonra kaldırdı. Tarihler Docker’ın dokümantasyonunun kamuya açık geçmişinden geliyor.
Docker şimdi bir kullanıcının kuruluş sahibi olarak adlandırılmasından önce onay gerektiğini ve bu olduğunda kullanıcının bilgilendirildiğini söylüyor. Ayrıca belirteç sahipliğindeki her değişikliği kaydediyor ve kimlik bilgisinin sahibini değiştiren diğer özellikleri inceliyor.
