Über zwei Jahre lang hing an einer unscheinbaren Docker-Hub-Funktion ein stiller Fehler, der jedem Angreifer mit ein wenig Geduld die Identität eines fremden Nutzers im Container-Register geschenkt hätte. Docker hat die Lücke am 13. Oktober offengelegt — behoben ist sie seit Ende September, die Geschichte dahinter ist trotzdem eine Lehrstunde in Supply-Chain-Sicherheit.
WAS GENAU PASSIERT IST
Die Lücke trägt die Kennung CVE-2026-105445 und erreicht die hohe Wertung CVSS 9,4 (CRITICAL). Der Fehler steckt in Docker Hubs Funktion, mit der sich ein persönlicher Account in eine Organisation umwandeln lässt — praktisch etwa, wenn ein Projekt wächst und mehrere Personen Zugriff brauchen sollen. Dabei übernimmt Docker Hub automatisch bestehende Personal Access Tokens (PATs) des Ursprungs-Accounts in die neue Organisation. Das Problem: Diese Token wurden dabei nicht rotiert oder widerrufen.
DER ANGRIFFSWEG: Simpel bis zum Schmerzpunkt
Der Ablauf, den Sicherheitsforscher Peter Molnar und Krisztian Hozak (mptrdev.com) demonstrierten, ist erschreckend einfach:
- Ein Angreifer legt einen beliebigen, neuen Docker-Hub-Account an.
- Er erzeugt dort ein Personal Access Token.
- Er wandelt den eigenen Account in eine Organisation um — und benennt ein Opfer als neuen Besitzer.
- Das zuvor erstellte Token funktioniert weiter und authentifiziert sich jetzt als das Opfer.
Docker-CISO Mark Lechner bringt es auf den Punkt: „Innerhalb seines Geltungsbereichs agierte ein neu zugewiesenes Token wie der Ziel-Nutzer.“ Im Klartext: Ein Angreifer konnte damit Images ziehen, hochladen oder löschen — überall dort, wohin die Berechtigung des Opfers reichte, einschließlich Organisations-Repositories.
WIE LANGE DAS SCHON LIEF
Die Schwachstelle bestand laut Docker vom 26. August 2024 bis zur Behebung am 30. September 2026 — also über zwei Jahre. Das Unternehmen hat daraufhin rund 304.000 Pushes, die mit übertragenen Token erfolgten, nachträglich untersucht. Ergebnis laut Docker: keine Hinweise auf tatsächlichen Missbrauch oder Manipulation. Alle betroffenen Alt-Token wurden am 8. Oktober zwangsweise deaktiviert.
Fair bleiben muss man hier: „Keine Hinweise gefunden“ ist nicht dasselbe wie „garantiert nie ausgenutzt“ — bei einer zwei Jahre offenen Lücke lässt sich historischer Missbrauch nicht mit letzter Sicherheit ausschließen, nur mit vertretbarer Wahrscheinlichkeit verneinen.
WARUM DAS FÜR DEIN HOMELAB WICHTIG IST
Docker Hub ist die Standard-Anlaufstelle für praktisch jedes containerisierte Self-Hosting-Setup — vom einzelnen Pi-hole-Container bis zur ganzen Nextcloud- oder Immich-Instanz. Eine Lücke, die es erlaubt, sich als vertrauenswürdiger Image-Maintainer auszugeben, ist damit ein klassisches Supply-Chain-Risiko: Wer blind docker pull gegen ein fremdes Repository fährt, vertraut implizit darauf, dass niemand sich zwischen Maintainer und Image geschoben hat.
Konkret betroffen waren hier Organisations-Konten, nicht jeder einzelne Privat-Account automatisch — wer nur private Images unter dem eigenen Namen pflegt, ohne je eine Account-zu-Organisation-Umwandlung durchlaufen zu haben, war nicht in der Angriffskette.
SO PRÜFST DU DICH — in 3 SCHRITTEN
- Token-Liste durchsehen: In den Docker-Hub-Kontoeinstellungen unter „Personal Access Tokens“ nachsehen, ob dort unbekannte oder sehr alte Einträge auftauchen.
- Organisations-Historie prüfen: Wurde dein Account je Ziel einer Account-zu-Organisation-Umwandlung? Falls ja, vorsichtshalber alle Token aus der Zeit vor dem 30.09.2026 neu erzeugen.
- Image-Signierung erwägen: Wer eigene Images verteilt, sollte über Docker Content Trust oder Sigstore/Cosign nachdenken — damit lässt sich die Herkunft eines Images unabhängig vom Registry-Vertrauen verifizieren.
FAZIT: Vertrauen in die Registry ist kein Sicherheitskonzept
Der Fall zeigt exemplarisch, wie leise sich ein Supply-Chain-Risiko in eine eigentlich harmlos wirkende Komfortfunktion einschleichen kann. Zwei Jahre lief die Lücke unbemerkt — behoben wurde sie letztlich durch externe Sicherheitsforscher, nicht durch interne Entdeckung. Wer Container-Images aus der Registry zieht, sollte das als Erinnerung nehmen: Herkunft prüfen schlägt blindes Vertrauen, gerade bei Software, die am Ende mit vollen Rechten auf dem eigenen Server läuft.