نمای کلی مدیریتی و اهمیت معماری
در ۳۰ سپتامبر ۲۰۲۶، داکر از طریق برنامه افشای آسیب‌پذیری خود، گزارشی حیاتی (با شناسه CVE-2026-105445) در رابطه با مدیریت هویت و دسترسی (IAM) در داکر هاب دریافت کرد. محققان امنیت، پیتر مولنار (Peter Molnar) و کریستیان هوزاک (Krisztian Hozak)، نقص معماری را در قابلیت تبدیل حساب کاربری پلتفرم کشف کردند؛ به‌ویژه مکانیزمی که به یک حساب شخصی (مثلاً alice/app) اجازه می‌دهد بدون از کار انداختن ارجاعات موجود برای دریافت (Pull) در داکر، به یک حساب متعلق به سازمان تبدیل شود. تیم مهندسی این آسیب‌پذیری را تأیید کرد و در کمتر از چهار ساعت اصلاحیه تولید را مستقر نمود که نمونه‌ای برجسته از چرخه عمر پاسخ به حادثه (IRL) است.
از منظر معماری نرم‌افزار، این آسیب‌پذیری یک همبستگی خطرناک را بین تبدیل وضعیت (تبدیل حساب) و تفویض مالکیت اعتبارنامه‌ها آشکار کرد. هنگامی که منطق تبدیل داکر هاب در ۲۶ اوت ۲۰۲۴ به‌روزرسانی شد، سهواً توکن‌های دسترسی شخصی (PAT) را بدون چرخش رازها، ابطال توکن‌ها، یا درخواست رضایت صریح کاربر، به مالک سازمان تازه منصوب‌شده مجدداً منتسب کرد. این غفلت، یک بردار آسیب‌پذیری حیاتی در زنجیره تأمین نرم‌افزار ایجاد کرد و اقدامات غیرمجاز در سطح رجیستری را تحت هویت کاربران هدف ناآگاه امکان‌پذیر ساخت. اگرچه ممیزی‌های جامع پزشکی قانونی که بیش از ۳۰۴,۰۰۰ پوش (Push) مبتنی بر توکن را پوشش می‌دادند، هیچ‌گونه بهره‌برداری فعال یا بار مخربی را نشان ندادند، اما این حادثه پیامدهای وخیم مسیرهای ارتقای سطح دسترسی ضمنی در معماری‌های رجیستری بومی ابری را برجسته می‌کند.
بهبودهای کلیدی و ارگونومی توسعه‌دهنده
برای اصلاح CVE-2026-105445 و ایمن‌سازی محیط پیرامونی IAM در داکر هاب، داکر زیرسیستم‌های تبدیل حساب و مدیریت توکن خود را به‌طور اساسی بازنگری کرده است. تغییر مهندسی اصلی، تداوم توکن دسترسی شخصی را به‌طور کامل از جریان کاری تبدیل حساب به سازمان جدا می‌کند. تحت معماری به‌روزرسانی‌شده، عملیات تبدیل دیگر سوابق مالکیت موجود PAT را به ارث نمی‌برند، منتقل نمی‌کنند یا تغییر نمی‌دهند. در عوض، اکنون توسعه‌دهندگان و مدیران سازمان صراحتاً ملزم می‌شوند که توکن‌های اتوماسیون لازم را پس از تبدیل مجدداً ایجاد کنند و از توکن‌های دسترسی سازمان محدودشده (OAT) به عنوان استاندارد رمزنگاری برای زیرساخت‌های اشتراکی بهره ببرند.
علاوه بر حذف مهاجرت توکن از خط لوله تبدیل، داکر بررسی‌های اعتبارسنجی مبتنی بر رضایت دقیق و گزارش‌دهی تله‌متری قابل حسابرسی را معرفی کرده است. نام‌گذاری یک کاربر خارجی به عنوان مالک سازمان اکنون باعث ایجاد جریان‌های کاری رضایت چندجانبه اجباری و اعلان‌های بی‌درنگ می‌شود و از ارتباطات خودسرانه جلوگیری می‌کند. علاوه بر این، هر انتقال مالکیت اعتبارنامه اکنون در یک تاریخچه وضعیت غیرقابل تغییر و قابل حسابرسی ثبت می‌شود. این بهبودهای معماری با ایجاد مرزهای شفاف اعتبارنامه در عین حذف عوارض جانبی پنهان در طول تحولات مدیریتی، ارگونومی توسعه‌دهنده را به‌طور قابل توجهی بهبود می‌بخشد.
ماتریس مقایسه معماری
| بردار معماری | مبنای قبلی (قبل از اصلاح) | نسخه فعلی (docker-hub-security-advisory-per) |
|---|---|---|
| تاخیر و پردازش IAM | انتقال وضعیت فوری و ضمنی PATها در طول روال‌های تبدیل حساب به سازمان. | بررسی‌های اعتبارسنجی همزمان بی‌درنگ که نیازمند رضایت صریح کاربر و پردازش جداشده هستند. |
| ردیابی وضعیت حافظه و توکن | نگاشت ناپایدار در حافظه از مالکیت توکن که از طریق اقدامات مدیریتی یک‌جانبه قابل تغییر است. | سوابق توکن رمزنگاری شده مجزا با ردیابی تاریخچه وضعیت غیرقابل تغییر و قابل حسابرسی. |
| نقطه‌های پایانی API رجیستری | نقطه‌های پایانی تبدیل قدیمی اجازه ارتقای دامنه اعتبارنامه خاموش را در سراسر مرزهای کاربر می‌دادند. | مسیرهای API مقاوم‌شده که ارث‌بری توکن بین کاربران را رد کرده و اعتبارسنجی دقیق OAT را اعمال می‌کنند. |
تغییرات ناسازگار و هشدارهای مهاجرت
این نسخه تغییرات ناسازگار قابل توجهی را در APIهای تبدیل حساب و مدیریت اعتبارنامه داکر هاب معرفی می‌کند. نکته قابل توجه این است که توکن‌های دسترسی شخصی (PAT) دیگر به‌طور خودکار هنگام تبدیل یک حساب شخصی به یک سازمان منتقل نمی‌شوند. هرگونه خط لوله CI/CD خودکار یا عملیات برنامه‌نویسی رجیستری داکر که به مکانیک‌های قدیمی انتقال PAT متکی است، در صورت عدم ایجاد دستی توکن‌ها، با خطاهای احراز هویت مواجه خواهد شد.
علاوه بر این، داکر غیرفعال‌سازی اجباری تمام PATهای تاریخی را که در طول پنجره قرار گرفتن در معرض خطر (از ۲۶ اوت ۲۰۲۴ تا ۳۰ سپتامبر ۲۰۲۶) به‌طور نادرست منتقل شده بودند، اعمال کرد؛ به استثنای توکن‌های خاصی که به‌طور صریح از طریق درخواست کاربر قبل از مهلت ۸ اکتبر معاف شده بودند. سازگاری رو به عقب برای مهاجرت ضمنی توکن به‌طور کامل منسوخ شده و برای انطباق امنیتی حذف شده است.
راهنمای ارتقای گام‌به‌گام
برای اطمینان از عملکرد بدون وقفه رجیستری و ایمن‌سازی سازمان خود در برابر خطرات مداوم IAM، این روند کاری مهاجرت عملی را دنبال کنید:
ممیزی توکن‌های دسترسی شخصی موجود: به بخش تنظیمات حساب (Account Settings) داکر هاب خود بروید، توکن‌های دسترسی شخصی (Personal access tokens) را انتخاب کنید و تمام اعتبارنامه‌های فعال را بررسی کنید. هر توکن تأیید نشده، قدیمی یا استفاده نشده‌ای را باطل کنید.
مهاجرت اتوماسیون به توکن‌های دسترسی سازمان: توکن‌های دسترسی شخصی مورد استفاده در خطوط لوله CI/CD اشتراکی را با توکن‌های دسترسی سازمان (OAT) محدودشده جایگزین کنید که به جای یک حساب کاربری فردی، مستقیماً به سازمان هدف گره خورده‌اند.
بررسی پیکربندی از طریق CLI: اعتبارنامه‌های به‌روزرسانی‌شده خود را با احراز هویت کلاینت داکر خود در برابر رجیستری آزمایش کنید:
echo "<your-organization-access-token>" | docker login --username <org-name> --password-stdin