Docker — Corrección de Falla Crítica en Docker Hub que Permitía Suplantación de Identidad en Registros (CVE-2026-105445)

Fecha de publicación: 13 de octubre de 2026
Categoría: Vulnerabilidades Críticas

Introducción

Docker ha implementado una corrección en su plataforma Docker Hub para solucionar una vulnerabilidad crítica que permaneció abierta durante más de dos años, afectando el mecanismo de conversión de cuentas personales a organizaciones. El fallo, rastreado formalmente bajo el identificador CVE-2026-105445, permitía que un atacante autenticado transfiriera tokens de acceso personal (PAT) controlados por él hacia otro usuario designado como propietario de una nueva organización, manteniendo intacto el secreto del token. Este vector facilitaba la ejecución de operaciones de lectura, escritura y eliminación en repositorios ajenos bajo una identidad legítima. El descubrimiento y reporte inicial fue realizado por los investigadores Peter Molnar y Krisztian Hozak, permitiendo a Docker desplegar un parche centralizado en su infraestructura de registro el pasado 30 de septiembre de 2026.

¿Qué es CVE-2026-105445? (Análisis General)

El componente afectado es el subsistema de gestión de identidades y control de acceso de Docker Hub, específicamente la función diseñada para convertir una cuenta personal en una organización manteniendo la misma denominación nominal.

  • Datos de NVD (HECHOS CONFIRMADOS):
    • CVE ID: CVE-2026-105445
    • Puntuación y Severidad CVSS: 9.4 (CRITICAL, CVSS v4.0)
    • Vector CVSS oficial: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
    • Clasificación CWE oficial: CWE-266 (Incorrect Privilege Assignment)
    • Catálogo CISA KEV: No reportado

La vulnerabilidad se clasifica como una asignación incorrecta de privilegios. Al no rotar ni revocar el secreto criptográfico del token de acceso personal durante la reasignación de propietario de la cuenta convertida, el token heredaba el contexto de seguridad del nuevo propietario en el registro de contenedores. Esto otorgaba un riesgo severo a la cadena de suministro de software al permitir la inyección o suplantación de imágenes firmadas o publicadas bajo nombres de editores legítimos.

¿Cómo funciona? (Análisis Técnico)

El análisis del flujo de ejecución revela una deficiencia lógica en la gestión del ciclo de vida de las credenciales de API dentro de Docker Hub:

  • Flujo inicial y creación del token: Un usuario atacante genera un token de acceso personal (PAT) en una cuenta bajo su control total, estableciendo permisos específicos de lectura, escritura o eliminación en el registro.
  • Abuso de la función de conversión: El atacante inicia el proceso de conversión de su cuenta personal a una organización y designa arbitrariamente a una víctima legítima como propietaria de dicha organización.
  • Persistencia y reasignación de privilegios: Durante la conversión, la plataforma actualiza el registro interno asociando el PAT existente al nuevo propietario, omitiendo la notificación o solicitud de consentimiento al usuario afectado y preservando la cadena secreta original del token.
  • Acceso no autorizado al registro: Utilizando el token sin modificar, el atacante se autentica directamente en el registro de Docker Hub operando bajo los privilegios del usuario receptor, permitiendo realizar operaciones de push, pull y delete sobre los repositorios accesibles por la víctima, incluidas organizaciones externas asociadas.

“La vulnerabilidad permitía que un token de acceso personal emitido originalmente en una cuenta controlada por el atacante se reasignara a un nuevo propietario de organización, heredando silenciosamente su contexto de privilegios en el registro sin requerir la rotación del secreto.”

Sistemas / Entornos Afectados

Los entornos impactados corresponden exclusivamente a las cuentas de Docker Hub que experimentaron conversiones de cuenta personal a organización durante el periodo comprendido entre el 26 de agosto de 2024 y el 30 de septiembre de 2026.

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-105445 CWE-266 (Incorrect Privilege Assignment) Crítico (Confidencialidad, Integridad y Disponibilidad completas en el ámbito del registro) 9.4 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
  • Plataforma afectada: Docker Hub (arquitectura SaaS centralizada en la nube). No requiere instalación de parches locales por parte de los usuarios, ya que la corrección fue aplicada directamente en los servidores de Docker.

Mitigación y Detección

Remediación

  • Revisión de credenciales: Los usuarios que recibieron notificaciones de Docker el 2 de octubre de 2026 deben auditar sus tokens de acceso personal en la sección de configuración de cuenta (Account settings > Personal access tokens).
  • Rotación y revocación: Se recomienda revocar de inmediato cualquier token desconocido, sospechoso o que no se reconozca en el historial de creación.
  • Adopción de tokens de organización: Para flujos de automatización e integración continua (CI/CD) corporativos, se debe migrar el uso de PATs individuales hacia Organization access tokens (disponibles en planes Docker Team o Docker Business).

Detección

  • Auditoría de registros de actividad: Los administradores de organizaciones con suscripciones elegibles deben revisar los registros de actividad (Activity logs) en busca de etiquetas publicadas (pushed tags) asociadas a tokens no identificados o ejecuciones atípicas.
  • Verificación de firmas de imágenes: Comprobar la integridad y procedencia de las imágenes publicadas en repositorios corporativos frente a las ejecuciones legítimas de compilación en pipelines de CI/CD.
bash 
# Ejemplo de verificación de metadatos e historial de origen de imágenes publicadas en Docker Hub
docker inspect <nombre_imagen:etiqueta>

Recapitulando

La corrección del CVE-2026-105445 por parte de Docker marca un hito crítico en la seguridad de los registros de contenedores al cerrar un vector de suplantación de identidad activo durante dos años. Aunque las revisiones forenses de Docker no encontraron evidencia de explotación maliciosa activa y procedieron a desactivar los tokens transferidos, el incidente subraya la necesidad imperativa de aplicar un control estricto sobre las credenciales de API, los procesos de conversión de cuentas y la monitorización de la cadena de suministro de software en entornos nativos de la nube.

Referencias