Lỗ hổng nghiêm trọng CVE-2026-105445 trên Docker Hub: Rủi ro chuỗi cung ứng phần mềm

• Lỗ hổng CVE-2026-105445: Cho phép kẻ tấn công mạo danh người dùng thông qua việc chuyển đổi tài khoản Docker Hub sang tổ chức.
• Tác động: Kẻ tấn công có thể truy cập, đẩy hoặc xóa hình ảnh trong các kho lưu trữ cá nhân và tổ chức liên kết.
• Phạm vi ảnh hưởng: Lỗ hổng tồn tại từ ngày 26/08/2024 đến 30/09/2026.
• Khắc phục: Docker đã vô hiệu hóa các token bị ảnh hưởng và thay đổi quy trình chuyển đổi tài khoản để đảm bảo an toàn.

Các nhà nghiên cứu bảo mật vừa công bố chi tiết về một lỗ hổng nghiêm trọng trên nền tảng Docker Hub, được định danh là CVE-2026-105445. Lỗ hổng này cho phép kẻ tấn công mạo danh người dùng hợp pháp và xuất bản các hình ảnh container dưới tên các kho lưu trữ đáng tin cậy, tạo ra mối đe dọa tiềm tàng đối với chuỗi cung ứng phần mềm toàn cầu.

Phân tích kỹ thuật lỗ hổng CVE-2026-105445

Lỗ hổng này phát sinh từ cơ chế xử lý quyền sở hữu trong quá trình chuyển đổi tài khoản cá nhân thành tài khoản tổ chức (Organization) trên Docker Hub. Theo thiết kế, tính năng này cho phép các nhóm giữ nguyên tên kho lưu trữ để duy trì tính liên tục cho các hệ thống CI/CD và ứng dụng.

Tuy nhiên, trong quá trình chuyển đổi, hệ thống đã tự động chuyển giao các Personal Access Tokens (PATs) của tài khoản gốc sang chủ sở hữu mới mà không thực hiện thu hồi hoặc thay đổi bí mật (secret) của token. Điều này dẫn đến việc token vẫn giữ nguyên giá trị xác thực nhưng lại được liên kết với một danh tính mới mà không có sự phê duyệt hay thông báo cho chủ sở hữu mới.

Cơ chế khai thác tiềm năng

Kẻ tấn công có thể thực hiện chuỗi hành động sau để lợi dụng lỗ hổng:

• Bước 1: Tạo một tài khoản Docker Hub mới và tạo một PAT hợp lệ.
• Bước 2: Thực hiện chuyển đổi tài khoản đó thành một tổ chức, đồng thời chỉ định nạn nhân làm chủ sở hữu (owner) của tổ chức đó.
• Bước 3: Sử dụng PAT đã tạo trước đó để thực hiện các yêu cầu registry, lúc này hệ thống sẽ xác thực kẻ tấn công dưới danh tính của nạn nhân.

⚠️ Cảnh báo quan trọng: Mặc dù lỗ hổng không cho phép chiếm quyền điều khiển toàn bộ tài khoản (như thay đổi mật khẩu hoặc cài đặt 2FA), nhưng nó cho phép kẻ tấn công thực hiện các thao tác registry như pull, push hoặc delete hình ảnh, gây nguy cơ chèn mã độc vào các dự án phần mềm.

Bảng tổng hợp thực thể kỹ thuật

Phản ứng từ Docker và khuyến nghị phòng thủ

Sau khi nhận được báo cáo từ các nhà nghiên cứu Peter Molnar và Krisztian Hozak, Docker đã triển khai bản vá trong vòng chưa đầy 4 giờ. Công ty đã tiến hành rà soát khoảng 304.000 lượt đẩy hình ảnh và xác nhận không có bằng chứng về việc khai thác thực tế hoặc mã độc được chèn vào.

Để đảm bảo an toàn hệ thống, Docker đã thực hiện các biện pháp sau:

• Vô hiệu hóa token: Vào ngày 08/10/2026, tất cả các PAT bị ảnh hưởng đã bị vô hiệu hóa, trừ khi có yêu cầu giữ lại từ chủ sở hữu.
• Thay đổi quy trình: Quy trình chuyển đổi tài khoản hiện nay không còn tự động chuyển giao PATs.
• Tăng cường kiểm soát: Bổ sung cơ chế yêu cầu sự đồng ý của chủ sở hữu và thông báo khi có thay đổi quyền sở hữu token.

Đối với các đội ngũ kỹ thuật và quản trị viên, các chuyên gia khuyến nghị:

• Rà soát PAT: Kiểm tra và thu hồi các token không sử dụng hoặc không rõ nguồn gốc trong tài khoản Docker Hub.
• Sử dụng Organization Access Tokens: Chuyển đổi sang sử dụng các token dành riêng cho tổ chức để tự động hóa các tác vụ thay vì dùng PAT cá nhân.
• Giám sát Registry: Sử dụng các công cụ quét hình ảnh container để phát hiện các thay đổi bất thường trong chuỗi cung ứng phần mềm.

Việc bảo mật chuỗi cung ứng là ưu tiên hàng đầu trong môi trường phát triển hiện đại. Các tổ chức cần duy trì sự cảnh giác cao độ đối với các cấu hình xác thực và quyền truy cập vào các kho lưu trữ hình ảnh container, theo hướng dẫn từ National Vulnerability Database (NVD).