Celah Keamanan Kritis di Docker Hub Memungkinkan Penyerang Menyamar sebagai Pengguna dan Memanipulasi Image
Docker secara resmi mengungkap temuan kerentanan keamanan kritis dengan kode identifikasi CVE-2026-105445 pada layanan Docker Hub. Celah ini memungkinkan penyerang untuk mengakses repository container milik pengguna lain secara tidak sah dengan memanfaatkan celah pada mekanisme Personal Access Token (PAT).
Sebagai informasi, Docker Hub merupakan online registry yang digunakan secara luas oleh para pengembang untuk menyimpan, membagikan, dan mengunduh container image—sebuah templat yang mengemas seluruh kebutuhan aplikasi agar dapat berjalan di lingkungan yang terisolasi. Di dalam ekosistem Docker Hub, PAT berfungsi sebagai secret atau kredensial rahasia untuk mengautentikasi berbagai tools serta alur kerja (workflow), yang memberikan izin bagi pengguna untuk melakukan operasi pull, push, hingga menghapus container image.
Berdasarkan buletin keamanan resmi yang dirilis oleh tim Docker, skenario eksploitasi celah ini berawal ketika penyerang membuat sebuah akun baru beserta PAT di dalamnya. Penyerang kemudian mengonversi akun personal tersebut menjadi akun organisasi dan menunjuk pengguna lain yang menjadi target sebagai pemilik (owner) dari organisasi tersebut.
Akar permasalahan dari kerentanan CVE-2026-105445 terletak pada kegagalan sistem Docker Hub yang secara otomatis mengalihkan kepemilikan PAT kepada pemilik organisasi yang baru ditunjuk tanpa mengubah nilai secret token tersebut ataupun meminta persetujuan (consent) dari pengguna target. Celah logika ini membuat penyerang tetap memegang token yang kini telah terasosiasi dengan identitas korban, sehingga dapat digunakan untuk melakukan autentikasi seolah-olah sebagai pengguna target.
Bergantung pada cakupan izin (scope) token dan hak akses yang dimiliki oleh target, penyerang berpotensi melakukan pull, push, atau menghapus image di dalam repository pribadi milik korban maupun di berbagai organisasi lain tempat korban memiliki akses.
Tim keamanan Docker menjelaskan bahwa di tingkat registry, PAT yang dialihkan tersebut bertindak sepenuhnya atas nama pengguna target. Mengingat celah ini membuka jalan bagi penyerang untuk memublikasikan atau memodifikasi image menggunakan nama akun yang sah dan tepercaya, Docker mengategorikan insiden ini sebagai risiko rantai pasok perangkat lunak (software supply chain risk) dan menyematkan status tingkat keparahan kritis.
Meskipun berstatus kritis pada level akses registry, Docker memastikan bahwa kerentanan ini tidak memberikan akses masuk ke antarmuka web Docker Hub milik korban. Penyerang juga tidak dapat mengubah kata sandi, alamat email, maupun pengaturan autentikasi dua faktor (2FA), sehingga pemilik akun yang sah tidak akan terkunci dari akun mereka sendiri.
Kronologi Penanganan dan Langkah Mitigasi Docker
Berdasarkan hasil investigasi internal, kerentanan ini diketahui telah ada sejak 26 Agustus 2024, tepat ketika fitur konversi akun mulai menerapkan pengalihan PAT akun personal ke pemilik baru tanpa mencabut (revoke) atau merotasi secret, serta tanpa memerlukan konfirmasi dari pihak yang ditunjuk.
Laporan mengenai celah keamanan ini pertama kali diterima oleh tim Docker pada 30 September 2026. Setelah mengonfirmasi validitas laporan tersebut, tim teknis Docker langsung bergerak cepat dan berhasil menerapkan perbaikan (fix) ke lingkungan produksi dalam waktu kurang dari empat jam.
Guna memastikan keamanan ekosistemnya, Docker telah melakukan audit menyeluruh terhadap 304.000 aktivitas push yang dilakukan menggunakan token hasil transfer, sekaligus menganalisis berbagai public image berisiko tinggi. Dari pemeriksaan tersebut, Docker menegaskan tidak menemukan adanya bukti maupun indikasi bahwa celah ini telah dieksploitasi secara aktif di dunia nyata.
Sebagai langkah pengamanan lanjutan, pengguna dan pemilik organisasi yang terdampak telah diberikan notifikasi resmi pada 2 Oktober lalu. Seluruh PAT yang sempat berpindah tangan melalui proses konversi tersebut juga telah dinonaktifkan secara permanen pada 8 Oktober 2026, kecuali bagi pemilik akun yang secara eksplisit mengajukan permintaan untuk tetap mempertahankannya.
Docker menyatakan bahwa pengguna yang tidak menerima email pemberitahuan dapat dipastikan aman dari dampak kerentanan ini dan tidak perlu melakukan tindakan mitigasi tambahan apa pun. Ke depannya, platform Docker Hub telah mengubah kebijakannya dengan menghentikan transfer PAT selama proses konversi akun serta mewajibkan adanya persetujuan pengguna sebelum mereka dapat ditetapkan sebagai pemilik organisasi.
Sumber: Docker Security Bulletin
