Executive Overview & Architektonische Bedeutung
Am 30. September 2026 erhielt Docker über sein Vulnerability Disclosure Program einen kritischen Sicherheitsbericht (geführt als CVE-2026-105445) bezüglich des Identitäts- und Zugriffsmanagements (IAM) innerhalb von Docker Hub. Die Sicherheitsforscher Peter Molnar und Krisztian Hozak entdeckten einen architektonischen Fehler in der Kontokonvertierungsfunktion der Plattform – insbesondere in dem Mechanismus, der es ermöglicht, ein persönliches Konto (z. B. alice/app) in ein von einer Organisation verwaltetes Konto umzuwandeln, ohne bestehende Docker-Pull-Referenzen zu beschädigen. Das Engineering-Team bestätigte die Schwachstelle und stellte in weniger als vier Stunden einen Produktions-Fix bereit, was einen mustergültigen Incident Response Lifecycle (IRL) darstellt.
Aus der Perspektive der Softwarearchitektur offenbarte diese Schwachstelle eine gefährliche Kopplung zwischen Zustandsänderung (Kontokonvertierung) und der Delegation von Anmeldeinformationen. Als die Konvertierungslogik von Docker Hub am 26. August 2024 aktualisiert wurde, wurden persönliche Zugriffstoken (PATs) unbeabsichtigt dem neu zugewiesenen Organisationsbesitzer neu zugeteilt, ohne Geheimnisse zu rotieren, Token zu widerrufen oder eine explizite Zustimmung des Benutzers einzufordern. Diese Nachlässigkeit schuf einen kritischen Vektor für Software-Lieferkettenschwachstellen, der unbefugte Aktionen auf Registry-Ebene unter der Identität von ahnungslosen Zielbenutzern ermöglichte. Obwohl umfassende forensische Prüfungen, die über 304.000 token-gesteuerte Pushes abdeckten, keine aktive Ausnutzung oder bösartige Payloads ergaben, unterstreicht der Vorfall die schwerwiegenden Auswirkungen von impliziten Pfaden zur Privilegienerweiterung in Cloud-nativen Registry-Architekturen.
Kernverbesserungen & Entwickler-Ergonomie
Zur Behebung von CVE-2026-105445 und zur Absicherung des Docker Hub IAM-Perimeters hat Docker seine Subsysteme für Kontokonvertierung und Token-Management grundlegend überarbeitet. Die primäre technische Änderung entkoppelt die Persistenz persönlicher Zugriffstoken vollständig vom Workflow der Konto-zu-Organisation-Konvertierung. Unter der aktualisierten Architektur erben, übertragen oder mutieren Konvertierungsvorgänge keine bestehenden PAT-Besitzdatensätze mehr. Stattdessen sind Entwickler und Organisationsadministratoren nun ausdrücklich verpflichtet, notwendige Automatisierungstoken nach der Konvertierung neu zu erstellen, wobei bereichsbezogene Organisationszugriffstoken (OATs) als kryptografischer Standard für geteilte Infrastrukturen genutzt werden.
Zusätzlich zur Entfernung der Token-Migration aus der Konvertierungskipplinie hat Docker strenge, zustimmungsbasierte Autorisierungsprüfungen und protokollierbare Telemetriedaten eingeführt. Die Benennung eines externen Benutzers als Organisationsbesitzer löst nun verbindliche Mehrparteien-Zustimmungsworkflows und Benachrichtigungen in Echtzeit aus, wodurch willkürliche Zuordnungen verhindert werden. Darüber hinaus wird jeder Übergang des Besitzes von Anmeldeinformationen nun in einer unveränderlichen, auditierbaren Zustandshistorie protokolliert. Diese architektonischen Verbesserungen verbessern die Entwickler-Ergonomie erheblich, indem sie transparente Grenzen für Anmeldeinformationen schaffen und gleichzeitig versteckte Nebeneffekte bei administrativen Transformationen eliminieren.
Architektonischer Vergleichsmatrix
| Architektonischer Vektor | Vorherige Baseline (Vor dem Fix) | Aktuelles Release (docker-hub-security-advisory-per) |
|---|---|---|
| IAM-Latenz & Verarbeitung | Unmittelbare, implizite Zustandsübertragung von PATs während Konto-zu-Organisation-Konvertierungsroutinen. | Synchrone Echtzeit-Autorisierungsprüfungen, die die ausdrückliche Zustimmung des Benutzers und eine entkoppelte Verarbeitung erfordern. |
| Speicher- & Token-Zustandsverfolgung | Flüchtige In-Memory-Zuordnung des Token-Besitzes, die durch einseitige administrative Aktionen veränderbar ist. | Kryptografisch isolierte Token-Datensätze mit unveränderlicher, auditierbarer Zustandshistorienverfolgung. |
| Registry-API-Endpunkte | Legacy-Konvertierungsendpunkte erlaubten eine stille Eskalation des Token-Gültigkeitsbereichs über Benutzergrenzen hinweg. | Gehärtete API-Routen, die tokenübergreifende Vererbung zwischen Benutzern ablehnen und eine strenge OAT-Validierung erzwingen. |
Breaking Changes & Migrationshinweise
Dieses Release führt signifikante Breaking Changes bei den APIs für Kontokonvertierung und Anmeldeinformationsverwaltung von Docker Hub ein. Insbesondere werden persönliche Zugriffstoken (PATs) nicht mehr automatisch übertragen, wenn ein persönliches Konto in eine Organisation umgewandelt wird. Alle automatisierten CI/CD-Pipelines oder programmatischen Docker-Registry-Operationen, die auf Legacy-PAT-Übertragungsmechanismen basieren, führen zu Authentifizierungsfehlern, wenn Token nicht manuell neu erstellt werden.
Darüber hinaus erzwang Docker die Deaktivierung aller historischen PATs, die während des Expositionsfensters (26. August 2024 bis einschließlich 30. September 2026) unsachgemäß übertragen wurden, mit Ausnahme spezifischer Token, die vor der Deadline am 8. Oktober auf Benutzerwunsch ausdrücklich ausgenommen wurden. Die Abwärtskompatibilität für die implizite Token-Migration wurde für die Sicherheitskonformität vollständig als veraltet erklärt und entfernt.
Schritt-für-Schritt-Upgrade-Anleitung
Um einen ununterbrochenen Registry-Betrieb zu gewährleisten und Ihre Organisation vor anhaltenden IAM-Risiken zu schützen, folgen Sie diesem praktischen Migrations-Workflow:
Vorhandene persönliche Zugriffstoken überprüfen: Navigieren Sie zu Ihren Docker Hub Kontoeinstellungen, wählen Sie Persönliche Zugriffstoken und überprüfen Sie alle aktiven Anmeldeinformationen. Widerrufen Sie alle unbestätigten, veralteten oder nicht verwendeten Token.
Automatisierung auf Organisationszugriffstoken migrieren: Ersetzen Sie persönliche Zugriffstoken, die in geteilten CI/CD-Pipelines verwendet werden, durch bereichsbezogene Organisationszugriffstoken (OATs), die direkt an die Zielorganisation anstatt an ein individuelles Benutzeroberkonto gebunden sind.
Konfiguration über CLI verifizieren: Testen Sie Ihre aktualisierten Anmeldeinformationen, indem Sie Ihren Docker-Client gegenüber der Registry authentifizieren:
echo "<your-organization-access-token>" | docker login --username <org-name> --password-stdin