Docker Hub'da hesap dönüşümünde erişim belirteçleri başkasına geçebiliyordu

Docker, Docker Hub platformunda hesap organizasyona dönüştürüldüğünde kullanıcının personal access token'larının (kişisel erişim belirteci) yeni hesap sahibine devredilebilmesine yol açan bir güvenlik açığını duyurdu. Açık, CVE-2026-105445 numarasıyla tanımlanıyor.

Sorunun kaynağı, Docker Hub'da mevcut bir hesabın organizasyon hesabına dönüştürülme süreci. Bu dönüşüm sırasında hesaba bağlı personal access token'lar, dönüşümü gerçekleştiren kişinin değil, dönüşüm sonrası hesabın sahibi olarak atanan kullanıcının kontrolüne geçebiliyordu. Personal access token'lar, Docker Hub hesabına şifre girmeden API üzerinden erişim sağlamak için kullanılan uzun ömürlü anahtarlar. Bu anahtarlardan birini ele geçiren biri, token sahibinin yetkileri dahilindeki işlemleri gerçekleştirebilir.

Docker, açığın kimleri etkilediğini de açıkladı: hesabını organizasyona dönüştürmüş ve bu sırada aktif personal access token'ı bulunan kullanıcılar risk altındaydı. Etkilenen kullanıcıların token'larının yetkisiz kullanılıp kullanılmadığına dair bir bulguya ulaşılıp ulaşılmadığıysa şirketin paylaştığı ayrıntılar arasında yer alıyor.

Açığa ilişkin yama yayına alındı. Kullanıcıların alınması önerilen önlem ise dönüştürme işlemi öncesinde oluşturulmuş tüm personal access token'larını iptal edip yenilerini oluşturmak. Docker, organizasyon dönüşümü yapmış kullanıcıların token geçmişlerini kontrol etmesini ve şüpheli etkinlik görürse token'ları hemen geçersiz kılmasını öneriyor.

Docker Hub, konteyner imajlarının paylaşıldığı dünyanın en büyük depolarından biri ve milyonlarca geliştiricinin CI/CD süreçlerinde kullandığı imajları barındırıyor. Platformdaki bir hesabın erişim anahtarlarının yanlış kişiye geçmesi, kurumsal yazılım geliştirme hatlarında yetkisiz imaj yayınına veya depo değişikliğine kapı aralayabiliyor. Bu nedenle Docker Hub hesabını organizasyona çevirmiş ekiplerin duyuruyu incelemesi ve token'larını yenilemesi önem taşıyor.