Docker Hub تعالج ثغرة حرجة في المصادقة تتيح التلاعب بالصور عبر حسابات المستخدمين

تفاصيل الثغرة

عالجت Docker ثغرة حرجة في المصادقة بمنصة Docker Hub سمحت بوصول غير مصرح به عبر حسابات المستخدمين إلى صور الحاويات. الثغرة التي أُصلحت في 30 سبتمبر 2024 مكّنت المهاجم من نشر أو سحب أو حذف صور الحاويات تحت هوية مستخدم آخر. كشفت Docker عن المشكلة في تنبيه أمني نُشر في 12 أكتوبر 2024.

كانت الثغرة موجودة في ميزة تحويل الحسابات التي تحوّل حسابات Docker Hub الشخصية إلى حسابات مؤسسية. استمرت الثغرة لمدة عامين تقريباً قبل أن تحددها Docker وتحلها. وفقاً لتنبيه المورّد، لم يجد التحقيق الداخلي أي دليل على استغلال الثغرة فعلياً خلال هذه الفترة.

الآثار على المؤسسات الخاضعة للتنظيم

بالنسبة للمؤسسات في المملكة التي تستخدم سجلات الحاويات كجزء من سلسلة توريد البرمجيات، يؤكد هذا الحادث مخاطر المصادقة والتحكم في الوصول الكامنة في خدمات المنصات المشتركة. غالباً ما تحتوي صور الحاويات على شيفرة خاصة وبيانات اعتماد وبيانات تكوين. قد يؤدي التلاعب غير المصرح به بهذه المكونات إلى إدخال شيفرة خبيثة في بيئات الإنتاج أو كشف ملكية فكرية حساسة.

ينبغي للمؤسسات الخاضعة للتنظيم التي تعتمد على Docker Hub أو سجلات عامة مماثلة التحقق من عدم حدوث تعديلات غير مصرح بها خلال فترة الثغرة. يجب على المؤسسات أيضاً مراجعة ضوابط مصدر صور الحاويات والنظر فيما إذا كانت السجلات الخاصة أو آليات توقيع الصور الإضافية مبررة لأحمال العمل الحرجة.

حالة المعالجة

أكدت Docker تطبيق التصحيح في 30 سبتمبر وأن جميع مستخدمي Docker Hub محميون الآن. لا يلزم اتخاذ أي إجراء إضافي من مستخدمي المنصة نفسها، رغم أن المراجعات الأمنية اللاحقة تظل حكيمة للمؤسسات ذات الالتزامات التنظيمية بموجب أطر مثل الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني أو إطار الأمن السيبراني لمؤسسة النقد العربي السعودي.