Yönetici Özeti ve Mimari Önem
30 Eylül 2026 tarihinde Docker, Docker Hub içindeki kimlik ve erişim yönetimi (IAM) ile ilgili olarak Açıklık Bildirimi Programı (Vulnerability Disclosure Program) aracılığıyla kritik bir güvenlik açığı bildirimi aldı (CVE-2026-105445 olarak takip edilmektedir). Güvenlik araştırmacıları Peter Molnar ve Krisztian Hozak, platformun hesap dönüştürme özelliğinde—özellikle kişisel bir hesabın (örn. alice/app) mevcut Docker pull referanslarını bozmadan bir kuruluşa ait hesaba dönüştürülmesini sağlayan mekanizmada—bir mimari açık keşfettiler. Mühendislik ekibi açığı doğruladı ve örnek bir Olay Müdahale Yaşam Döngüsü (IRL) sergileyerek dört saatten kısa sürede bir üretim düzeltmesi (production fix) devreye aldı.
Yazılım mimarisi perspektifinden bakıldığında bu açık, durum dönüşümü (hesap dönüştürme) ile kimlik bilgisi sahipliği devri arasında tehlikeli bir bağlantı olduğunu ortaya koydu. Docker Hub'ın dönüştürme mantığı 26 Ağustos 2024'te güncellendiğinde, sırları (secrets) döndürmeden, token'ları iptal etmeden veya açık kullanıcı onayı talep etmeden kişisel erişim token'larını (PAT) yanlışlıkla yeni atanan kuruluş sahibine yeniden atadı. Bu gözden kaçırma, şüphelenmeyen hedef kullanıcıların kimliği altında yetkisiz kayıt defteri düzeyinde eylemlere olanak tanıyarak kritik bir yazılım tedarik zinciri güvenlik açığı vektörü oluşturdu. 304.000'den fazla token tabanlı gönderimi (push) kapsayan kapsamlı adli denetimler herhangi bir aktif sömürü veya kötü amaçlı yük (payload) ortaya çıkarmamış olsa da bu olay, bulut yerlisi kayıt defteri mimarilerindeki örtük ayrıcalık yükseltme yollarının ciddi sonuçlarının altını çizmektedir.
Temel Geliştirmeler ve Geliştirici Ergonomisi
CVE-2026-105445'i düzeltmek ve Docker Hub IAM sınırını güçlendirmek için Docker, hesap dönüştürme ve token yönetimi alt sistemlerini kökten elden geçirdi. Birincil mühendislik değişikliği, kişisel erişim token'ı kalıcılığını, hesap-kuruluş dönüştürme iş akışından tamamen ayırmaktadır. Güncellenen mimari altında, dönüştürme işlemleri artık mevcut PAT sahiplilik kayıtlarını devralmaz, aktarmaz veya değiştirmez. Bunun yerine, geliştiricilere ve kuruluş yöneticilerine, paylaşılan altyapı için kriptografik standart olarak kapsamlı kuruluş erişim token'larından (OAT) yararlanarak dönüştürme sonrasında gerekli otomasyon token'larını yeniden oluşturmaları artık açıkça şart koşulmaktadır.
Docker, dönüştürme boru hattından token geçişini kaldırmanın yanı sıra katı onay tabanlı yetkilendirme kontrolleri ve denetlenebilir telemetri günlüğü kaydı getirdi. Harici bir kullanıcının kuruluş sahibi olarak adlandırılması artık rastgele ilişkilendirmeleri önleyerek zorunlu çok taraflı onay iş akışlarını ve gerçek zamanlı bildirimleri tetikler. Dahası, her kimlik bilgisi sahipliği geçişi artık değiştirilemez, denetlenebilir bir durum geçmişinde günlüğe kaydedilir. Bu mimari geliştirmeler, idari dönüşümler sırasında gizli yan etkileri ortadan kaldırırken şeffaf kimlik bilgisi sınırları oluşturarak geliştirici ergonomisini önemli ölçüde iyileştirir.
Mimari Karşılaştırma Matrisi
| Mimari Vektör | Önceki Temel Çizgi (Düzeltme Öncesi) | Mevcut Sürüm (docker-hub-security-advisory-per) |
|---|---|---|
| IAM Gecikmesi ve İşleme | Hesap-kuruluş dönüştürme rutinleri sırasında PAT'lerin anında, örtük durum aktarımı. | Açık kullanıcı onayı ve ayrıştırılmış işleme gerektiren gerçek zamanlı senkronize yetkilendirme kontrolleri. |
| Bellek ve Token Durum Takibi | Tek taraflı idari eylemlerle değiştirilebilir token sahipliğinin uçucu bellek içi haritalaması. | Değiştirilemez, denetlenebilir durum geçmişi takibine sahip kriptografik olarak izole edilmiş token kayıtları. |
| Kayıt Defteri API Uç Noktaları | Eski dönüştürme uç noktaları, kullanıcı sınırları arasında sessiz kimlik bilgisi kapsamı yükseltmesine izin verdi. | Kullanıcılar arası token kalıtımını reddeden ve katı OAT doğrulamasını zorunlu kılan güçlendirilmiş API yolları. |
Bozulmaya Neden Olan Değişiklikler ve Geçiş Uyarıları
Bu sürüm, Docker Hub'ın hesap dönüştürme ve kimlik bilgisi yönetimi API'lerinde önemli bozulmaya neden olan değişiklikler (breaking changes) sunmaktadır. En dikkat çekici olanı, kişisel bir hesap bir kuruluşa dönüştürüldüğünde kişisel erişim token'larının (PAT) artık otomatik olarak aktarılmamasıdır. Eski PAT aktarım mekanizmalarına güvenen tüm otomatik CI/CD boru hatları veya programlı Docker kayıt defteri işlemleri, token'lar manuel olarak yeniden oluşturulmazsa kimlik doğrulama hatalarıyla karşılaşacaktır.
Ek olarak Docker, 8 Ekim son tarihinden önce kullanıcı talebiyle açıkça muaf tutulan belirli token'lar hariç olmak üzere, maruz kalma penceresi (26 Ağustos 2024 - 30 Eylül 2026) sırasında yanlış bir şekilde aktarılan tüm geçmiş PAT'lerin devre dışı bırakılmasını zorunlu kıldı. Örtük token geçişi için geriye dönük uyumluluk (backwards-compatibility), güvenlik uyumluluğu açısından tamamen kullanım dışı bırakılmış ve kaldırılmıştır.
Adım Adım Yükseltme Kılavuzu
Kesintisiz kayıt defteri operasyonları sağlamak ve kuruluşunuzu kalıcı IAM risklerine karşı korumak için şu pratik geçiş iş akışını izleyin:
Mevcut Kişisel Erişim Token'larını Denetleyin: Docker Hub Hesap Ayarları'na (Account Settings) gidin, Kişisel erişim token'ları (Personal access tokens) seçeneğini seçin ve tüm aktif kimlik bilgilerini gözden geçirin. Doğrulanmamış, eski veya kullanılmayan token'ları iptal edin.
Otomasyonu Kuruluş Erişim Token'larına Taşıyın: Paylaşılan CI/CD boru hatlarında kullanılan kişisel erişim token'larını, bireysel bir kullanıcı hesabından ziyade doğrudan hedef kuruluşla ilişkilendirilmiş kapsamlı Kuruluş Erişim Token'ları (OAT) ile değiştirin.
CLI Üzerinden Yapılandırmayı Doğrulayın: Docker istemcinizi kayıt defterine karşı kimlik doğrulayarak güncellenmiş kimlik bilgilerinizi test edin:
echo "<your-organization-access-token>" | docker login --username <org-name> --password-stdin