Docker は 10 月 12 日、Docker Hub の個人アカウントを組織に変換する機能に、個人用アクセストークン (PAT) が新しいオーナーへ付け替えられる脆弱性 CVE-2026-105445 があったと公表しました。悪用されるとレジストリ上で他人として image を push・削除できるため、同社はソフトウェアサプライチェーンのリスクとして深刻度を critical と評価しています。
主なポイント
- 2024 年 8 月 26 日以降、組織変換時に PAT の所有者情報だけが新オーナーへ移り、トークン自体は失効・再発行されず、指名されたユーザーへの確認や通知もありませんでした。
- 攻撃者は自分の PAT を作ったアカウントを組織に変換して標的をオーナーに指名すれば、標的の権限で pull・push・削除ができた可能性があります。Web 画面へのログインやパスワード変更はできません。
- 9 月 30 日に外部研究者から報告を受け、約 4 時間後に修正を本番に適用しました。10 月 2 日に影響ユーザーへメールで通知し、10 月 8 日に移された PAT を (残す申し出があったものを除き) 無効化しました。
- 移された PAT による約 30 万 4,000 件の push を調べ、悪用の証拠は無かったとしています。ただし使われなかったトークンはログに残らないと説明しています。
- 通知メールを受け取っていなければ対応は不要です。念のため PAT を見直し、組織の自動化には organization access token を使うよう勧めています。