Docker vá lỗi nghiêm trọng trên Docker Hub liên quan đến token cá nhân
"Docker fixed a critical flaw in Docker Hub, tracked as CVE-2026-105445 with a CVSS 4.0 score of 9.4, that could let one user push, pull, or delete images as another after account-to-organization conversion transferred personal access tokens to the new owner. The issue existed from August 26, 2024 until the September 30 fix; Docker says it found no evidence of exploitation and no client-side update is required because the remediation was applied on the service side."
Ảnh hưởng đến toàn vẹn chuỗi cung ứng container vì token có thể được dùng để đẩy image dưới danh nghĩa tài khoản khác; Docker nói chưa thấy dấu hiệu khai thác nhưng vẫn cần rà soát PAT và lịch sử truy cập.
Có thể tác động đến quy trình phát hành image, kiểm soát repository và niềm tin vào artifact đã xuất bản; doanh nghiệp nên kiểm tra token và chuẩn hóa sang organization access tokens.
Docker đã khắc phục một lỗ hổng nghiêm trọng trong Docker Hub cho phép một người dùng có thể push, pull hoặc xóa image dưới danh nghĩa tài khoản khác. Lỗi được theo dõi là CVE-2026-105445, có CVSS 9.4, và tồn tại từ 26/08/2024 đến bản vá ngày 30/09. Theo Docker, vấn đề nằm ở luồng chuyển đổi từ tài khoản cá nhân sang organization: các personal access token (PAT) có thể bị chuyển sang chủ sở hữu mới mà vẫn giữ nguyên bí mật, khiến token hoạt động như tài khoản gốc trong phạm vi registry.
Docker cho biết lỗi chỉ ảnh hưởng đến registry, không tác động đến giao diện web, mật khẩu, email hay thiết lập 2FA. Công ty nói chưa ghi nhận dấu hiệu bị khai thác và đã xử lý ở phía dịch vụ, nên không cần cập nhật client.
Khuyến nghị cho đội vận hành là kiểm tra PAT, thu hồi token không nhận diện được hoặc không còn dùng, và ưu tiên organization access tokens cho tự động hóa thay vì token cá nhân. Với các môi trường có quy trình chuyển đổi tài khoản sang organization, nên rà soát lại quyền truy cập, lịch sử sử dụng token và các image đã được phát hành trong giai đoạn bị ảnh hưởng.