Docker Hub: Kontoumwandlung ließ aktive Zugriffstoken an andere Nutzer übergehen

So funktionierte die Schwachstelle

Docker Hub erlaubt es, ein persönliches Konto in eine Organisation umzuwandeln. Docker erklärt, dass Nutzer dies tun, weil Hub keine Möglichkeit bietet, ein Repository von einem Konto in ein anderes zu verschieben. Durch die Umwandlung kann ein Repository wie alice/app in den Besitz einer Organisation übergehen, ohne dass Docker Pulls, die darauf verweisen, ins Leere laufen.

Bei der Umwandlung benennt der Nutzer ein bestehendes Docker-Hub-Konto als Eigentümer der neuen Organisation. Seit dem 26. August 2024 wies die Umwandlung zusätzlich die persönlichen Zugriffstoken (Personal Access Tokens, PATs) des umgewandelten Kontos diesem neuen Eigentümer zu. Laut Docker geschah dies, indem der Eigentümereintrag des Tokens geändert wurde, ohne das Token-Secret zu rotieren oder zu widerrufen. Der benannte Eigentümer wurde weder um Bestätigung gebeten noch benachrichtigt.

Damit war folgender Angriff möglich:

• Ein Angreifer legt ein Konto an und erzeugt dafür ein PAT.
• Der Angreifer wandelt das Konto in eine Organisation um und benennt ein Zielopfer als Eigentümer.
• Das PAT wird dem Opfer zugewiesen, der Angreifer kennt aber weiterhin das Secret, und das Token bleibt aktiv.
• Das Token authentifiziert sich anschließend gegenüber der Registry als das Opfer.

Auswirkungen und Zeitverlauf

Im Rahmen der Berechtigungen des Tokens hätte ein Angreifer möglicherweise Images in den Repositories des Opfers und in Organisationen, auf die das Opfer Zugriff hatte, herunterladen, hochladen und löschen können. Da dazu auch das Veröffentlichen von Images unter einem legitimen Namen gehört, stufte Docker das Problem als Risiko für die Software-Lieferkette ein und bewertete es als kritisch.

Nach Angaben von Docker verschaffte die Lücke keinen Zugang zur Weboberfläche von Docker Hub. Auch ließen sich damit weder Passwort, E-Mail-Adresse oder Zwei-Faktor-Einstellungen des Opfers ändern noch das Konto übernehmen.

Das Zeitfenster der Gefährdung reichte vom 26. August 2024, 20:33 UTC, bis zur Bereitstellung des Fixes am 30. September 2026. Sicherheitsforscher meldeten das Problem an diesem Tag über Dockers Vulnerability Disclosure Program. Docker gibt an, die Meldung um 11:40 Uhr US-Ostküstenzeit erhalten, sie gegen 13:30 Uhr reproduziert und gegen 15:10 Uhr einen Fix ausgerollt zu haben, also weniger als vier Stunden nach Eingang. Die Umwandlung überträgt PATs nicht mehr, und die Dokumentation wurde um den Hinweis ergänzt, dass der neue Eigentümer sie neu erstellen muss; empfohlen werden Organization Access Tokens.

Am 2. Oktober schrieb Docker per E-Mail an die Nutzer, deren Konten übertragene PATs erhalten hatten, und informierte die zugehörigen Organisationseigentümer. Am 8. Oktober deaktivierte das Unternehmen die identifizierten übertragenen PATs, sofern die Kontoinhaber nicht widersprochen hatten.

Was Docker herausgefunden hat

Docker zufolge hat das Unternehmen sämtliche Kontoumwandlungen seit dem 26. August 2024 erfasst und mit Registry-Authentifizierungsprotokollen, Docker-Hub-Nutzungsdaten und IAM-Token-Datensätzen abgeglichen. Gesucht wurde nach Tokens, die unter mehr als einer Identität verwendet wurden; zudem prüfte Docker jeden mit einem übertragenen Token ausgeführten Push, insgesamt rund 304.000.

Laut Docker landete jeder dieser Pushes entweder in den Repositories der umgewandelten Organisation oder in den eigenen Repositories des neuen Eigentümers, keiner in Konten fremder Nutzer oder Organisationen. In den meisten Fällen gehörten das umgewandelte Konto und der benannte Eigentümer derselben Person oder demselben Team an, was dem vorgesehenen Zweck der Funktion entspricht. Zusätzlich analysierte Docker die riskantesten öffentlichen Images statisch, ohne sie auszuführen, und fand keine Malware, keine Kryptominer, keine Command-and-Control-Aktivität, kein Auslesen von Zugangsdaten, keine Persistenzmechanismen und keine Manipulationen. Hinweise auf eine Beeinträchtigung der eigenen Infrastruktur oder Dienste gebe es nicht.

Docker räumt eine Grenze dieses Befunds ein: Registry-Protokolle zeigen, wann ein Token verwendet wird, nicht aber, dass es existiert. Ein übertragenes Token, das nie benutzt wurde, hinterlässt also keine Spur. Deshalb behandelte das Unternehmen jedes PAT, das im fraglichen Zeitraum durch eine Umwandlung den Besitzer wechselte, als potenziell betroffen.

Änderungen und Empfehlungen für Nutzer

Der Sofort-Fix entfernte die PAT-Übertragung aus der Umwandlung vollständig. Docker will zudem künftig die Zustimmung eines Nutzers einholen, bevor er als Organisationseigentümer benannt wird, und ihn darüber benachrichtigen. Außerdem wird ein prüfbarer Verlauf jeder Änderung der Token-Eigentümerschaft geführt, und andere Abläufe, bei denen Zugangsdaten den Besitzer wechseln, werden auf dasselbe Muster hin untersucht.

Nutzer, die die E-Mail vom 2. Oktober mit dem Betreff "Docker Hub Vulnerability Identified & Resolved" nicht erhalten haben, waren nicht betroffen und müssen laut Docker nichts unternehmen. Dennoch rät Docker allen, in Docker Hub unter Account settings, Personal access tokens die persönlichen Zugriffstoken zu überprüfen und alle zu widerrufen, die sie nicht kennen oder nicht mehr verwenden. Für Automatisierungen, die zu einer Organisation gehören, empfiehlt das Unternehmen Organization Access Tokens statt des PATs einer Person.

Docker dankte Peter Molnar und Krisztian Hozak von mptrdev.com für das Auffinden und die verantwortungsvolle Meldung der Lücke. Ihre technische Analyse ist unter ghostpat.com abrufbar.