اخیراً گزارشی مبنی بر کشف یک آسیب‌پذیری امنیتی بحرانی در پلتفرم Docker Hub منتشر شده است که به مهاجمان اجازه می‌داد با سوءاستفاده از سیستم توکن‌های دسترسی شخصی (PAT)، هویت کاربران را جعل کرده و سلامت تصاویر کانتینری را به مخاطره بیندازند. این رخنه امنیتی که با شناسه CVE-2026-105445 ثبت شده است، زنگ خطری جدی برای تیم‌های DevOps و مهندسان زیرساخت به شمار می‌آید.
ماهیت فنی و مکانیزم نفوذ در CVE-2026-105445
این آسیب‌پذیری در لایه احراز هویت و مدیریت دسترسی‌های Docker Hub قرار داشت. به طور معمول، Personal Access Tokens (PATs) به عنوان جایگزینی امن‌تر برای پسوردهای متنی ساده در تعاملات API طراحی شده‌اند. با این حال، نقص کشف شده به مهاجمان اجازه می‌داد بدون نیاز به تأیید اعتبار چندمرحله‌ای یا دسترسی مستقیم به حساب کاربری، با تغییرات ساختاری در درخواست‌های API، به مخازن (Repositories) متعلق به سایر کاربران دسترسی پیدا کنند. این عمل مستقیماً منجر به نشت داده‌های حساس و امکان جایگزینی تصاویر مخرب (Image Tampering) با تصاویر اصلی شده است.
خطرات ناشی از آلودگی تصاویر کانتینری
یکی از پیچیده‌ترین حملات در اکوسیستم کانتینری، Supply Chain Attack یا حمله به زنجیره تأمین نرم‌افزار است. وقتی مهاجم بتواند تصویر اصلی (Base Image) در Docker Hub را با یک تصویر حاوی بدافزار یا درب پشتی (Backdoor) جایگزین کند، تمامی محیط‌های عملیاتی که از این تصویر استفاده می‌کنند در معرض خطر قرار می‌گیرند. این سناریو به ویژه برای محیط‌های CI/CD که به طور خودکار تصاویر را از مخازن عمومی یا خصوصی Pull می‌کنند، بسیار ویرانگر است.
مشخصات فنی آسیب‌پذیری
- شناسه CVE: CVE-2026-105445
- نوع نقص: جعل هویت و دسترسی غیرمجاز (Broken Access Control)
- سرویس متأثر: Docker Hub API & Repository Management
- وضعیت: اصلاح شده توسط تیم مهندسی Docker
- توصیه امنیتی: بازبینی لاگ‌های دسترسی (Audit Logs) و تغییر توکن‌های PAT
راه‌کارهای مقابله و پیشگیری برای مدیران DevOps
اگرچه تیم Docker نسبت به رفع این آسیب‌پذیری اقدام کرده است، اما سازمان‌هایی که از Docker Hub به عنوان مخزن اصلی استفاده می‌کنند باید اقدامات زیر را انجام دهند:
- چرخش توکن‌های دسترسی (Token Rotation): تمامی توکن‌های PAT فعلی خود را منقضی کرده و توکن‌های جدید صادر کنید.
- محدودسازی دسترسی (Least Privilege): برای توکن‌ها، دسترسی‌های Read-only را تا حد امکان محدود کنید و از ایجاد توکن‌هایی با سطح دسترسی Admin برای فرآیندهای غیرضروری خودداری نمایید.
- اعتبارسنجی تصاویر (Image Signing): استفاده از فناوری Docker Content Trust (DCT) الزامی است. با امضای دیجیتالی تصاویر، حتی در صورت جایگزینی تصویر در مخزن، کلاینت می‌تواند عدم تطابق امضا را تشخیص داده و از اجرای آن جلوگیری کند.
- نظارت بر لاگ‌ها: بررسی دقیق لاگ‌های ورودی به Docker Hub برای شناسایی هرگونه فعالیت غیرعادی (مانند تغییرات غیرمنتظره در تنظیمات Repository در فصول اخیر).
نتیجه‌گیری و آینده امنیت کانتینرها
این واقعه در سال ۱۴۰۵ نشان داد که اعتمادِ ضمنی به پلتفرم‌های ابری میزبان مخازن، کافی نیست. امنیت زنجیره تأمین باید چندلایه باشد؛ از اسکن خودکار تصاویر در محیط CI/CD تا استفاده از ابزارهای بومی مانند Trivy برای تحلیل آسیب‌پذیری‌ها قبل از استقرار. هوشیاری تیم‌های امنیتی در شناسایی ناهنجاری‌های API، آخرین خط دفاعی در برابر رخنه‌هایی از این دست محسوب می‌شود.
