Aperçu Exécutif & Importance Architecturale
Le 30 septembre 2026, Docker a reçu un rapport de vulnérabilité critique via son Programme de Divulgation des Vulnérabilités (suivi sous la référence CVE-2026-105445) concernant la gestion des identités et des accès (IAM) au sein de Docker Hub. Les chercheurs en sécurité Peter Molnar et Krisztian Hozak ont découvert une faille architecturale dans la fonctionnalité de conversion de compte de la plateforme — plus précisément, le mécanisme qui permet de convertir un compte personnel (par exemple, alice/app) en un compte possédé par une organisation sans rompre les références de tirage Docker existantes. L'équipe d'ingénierie a confirmé la vulnérabilité et déployé un correctif en production en moins de quatre heures, démontrant un Cycle de Réponse aux Incidents (IRL) exemplaire.
Du point de vue de l'architecture logicielle, cette vulnérabilité a exposé un couplage dangereux entre la transformation d'état (conversion de compte) et la délégation de propriété des informations d'identification. Lorsque la logique de conversion de Docker Hub a été mise à jour le 26 août 2024, elle a par inadvertance réattribué des jetons d'accès personnel (PAT) au nouveau propriétaire désigné de l'organisation sans effectuer de rotation des secrets, ni révoquer les jetons, ni exiger le consentement explicite de l'utilisateur. Cet oubli a créé un vecteur critique de vulnérabilité dans la chaîne d'approvisionnement logicielle, permettant des actions non autorisées au niveau du registre sous l'identité d'utilisateurs cibles inssusceptibles. Bien que des audits forensiques complets portant sur plus de 304 000 poussées basées sur des jetons n'aient révélé aucune exploitation active ni charge malveillante, l'incident souligne les graves implications des chemins d'élévation implicite des privilèges dans les architectures de registres natifs du cloud.
Améliorations Principales & Ergonomie pour les Développeurs
Pour remédier à la CVE-2026-105445 et renforcer le périmètre IAM de Docker Hub, Docker a fondamentalement refondu ses sous-systèmes de conversion de compte et de gestion des jetons. Le principal changement d'ingénierie découple complètement la persistance des jetons d'accès personnel du flux de travail de conversion de compte en organisation. Sous l'architecture mise à jour, les opérations de conversion n'héritent plus, ne transfèrent plus et ne modifient plus les enregistrements de propriété des PAT existants. À la place, les développeurs et les administrateurs d'organisation sont désormais explicitement tenus de recréer les jetons d'automatisation nécessaires après la conversion, en s'appuyant sur des jetons d'accès d'organisation (OAT) à portée définie comme norme cryptographique pour l'infrastructure partagée.
En plus de supprimer la migration des jetons du pipeline de conversion, Docker a introduit des contrôles d'autorisation stricts axés sur le consentement et un journal de télémétrie auditable. Nommer un utilisateur externe comme propriétaire d'organisation déclenche désormais des flux de travail de consentement multipartite obligatoires et des notifications en temps réel, empêchant les associations arbitraires. De plus, chaque transition de propriété d'informations d'identification est désormais enregistrée dans un historique d'état immuable et auditable. Ces améliorations architecturales améliorent considérablement l'ergonomie des développeurs en établissant des frontières d'informations d'identification transparentes tout en éliminant les effets secondaires cachés lors des transformations administratives.
Matrice de Comparaison Architecturale
| Vecteur Architectural | Référence Précédente (Avant Correctif) | Version Actuelle (docker-hub-security-advisory-per) |
|---|---|---|
| Latence & Traitement IAM | Transfert d'état immédiat et implicite des PAT lors des routines de conversion de compte en organisation. | Contrôles d'autorisation synchrones en temps réel nécessitant le consentement explicite de l'utilisateur et un traitement découplé. |
| Suivi de la Mémoire & de l'État des Jetons | Mappage en mémoire volatil de la propriété des jetons modifiable via des actions administratives unilatérales. | Enregistrements de jetons cryptographiquement isolés avec suivi d'historique d'état immuable et auditable. |
| Endpoints de l'API du Registre | Les endpoints de conversion hérités permettaient une escalade silencieuse de la portée des informations d'identification au-delà des frontières des utilisateurs. | Routes d'API durcies rejetant l'héritage de jetons inter-utilisateurs et appliquant une validation stricte des OAT. |
Changements Majeurs & Avertissements de Migration
Cette version introduit des changements majeurs importants dans les API de conversion de compte et de gestion des informations d'identification de Docker Hub. Plus particulièrement, les jetons d'accès personnel (PAT) ne se transfèrent plus automatiquement lorsqu'un compte personnel est converti en organisation. Tout pipeline CI/CD automatisé ou toute opération de registre Docker programmatique reposant sur les mécanismes de transfert de PAT hérités subira des échecs d'authentification si les jetons ne sont pas recréés manuellement.
De plus, Docker a appliqué la désactivation forcée de tous les PAT historiques qui ont été mal transférés pendant la fenêtre d'exposition (du 26 août 2024 au 30 septembre 2026), à l'exception des jetons spécifiques explicitement exemptés sur demande de l'utilisateur avant la date limite du 8 octobre. La rétrocompatibilité pour la migration implicite des jetons a été entièrement dépréciée et supprimée pour des raisons de conformité de sécurité.
Guide de Mise à Niveau Étape par Étape
Pour garantir des opérations de registre ininterrompues et sécuriser votre organisation contre les risques IAM persistants, suivez ce flux de travail de migration pratique :
Auditer les Jetons d'Accès Personnel Existants : Accédez aux Paramètres du compte de votre Docker Hub, sélectionnez Jetons d'accès personnel et examinez toutes les informations d'identification actives. Révoquez tous les jetons non vérifiés, hérités ou inutilisés.
Migrer l'Automatisation vers les Jetons d'Accès d'Organisation : Remplacez les jetons d'accès personnel utilisés dans les pipelines CI/CD partagés par des Jetons d'Accès d'Organisation (OAT) à portée définie, liés directement à l'organisation cible plutôt qu'à un compte utilisateur individuel.
Vérifier la Configuration via la CLI : Testez vos informations d'identification mises à jour en authentifiant votre client Docker auprès du registre :
echo "<your-organization-access-token>" | docker login --username <org-name> --password-stdin