Contexte de la vulnérabilité
Docker a annoncé la publication d’un correctif pour une faille de sécurité découverte il y a deux ans dans Docker Hub, le registre public de conteneurs. La description officielle indique que la vulnérabilité permettait à un compte malveillant de pousser des images sous l’identité d’un autre utilisateur. Aucun identifiant CVE n’a été communiqué, et Docker n’a pas précisé les versions affectées du service, ce qui limite la visibilité sur l’étendue du problème.
Mécanisme d’usurpation d’images
Selon les informations disponibles, le défaut résidait dans le processus d’authentification du point d’entrée d’upload. Un acteur disposant d’un jeton d’accès valide pouvait, en manipulant les paramètres de la requête, associer un nouveau manifeste d’image à un namespace qui ne lui appartenait pas. Cette forme d’usurpation repose sur une validation insuffisante des métadonnées de l’image et sur l’absence de vérification croisée entre le token d’authentification et le propriétaire déclaré du dépôt. Le résultat est la création d’artefacts qui semblent provenir d’un tiers de confiance, ouvrant la porte à des attaques de type software supply chain.
Impact potentiel sur la chaîne d’approvisionnement
Dans un scénario d’exploitation, un attaquant pourrait remplacer une image légitime par une version modifiée contenant du code malveillant, tout en conservant le même nom et la même balise. Les équipes de développement qui tirent leurs images directement depuis Docker Hub sans vérification de signature seraient exposées à l’exécution de code non autorisé. Le risque s’amplifie dans les environnements de production automatisés où les pipelines CI/CD récupèrent les artefacts en continu. Bien que Docker n’ait pas publié de statistiques d’incidents liés à cette faille, le principe même d’usurpation d’identité constitue une menace reconnue dans les modèles de distribution de conteneurs.
Mesures de correction et recommandations
Le correctif publié par Docker modifie le flux d’authentification afin d’imposer une correspondance stricte entre le token d’accès et le namespace cible. Les utilisateurs sont invités à mettre à jour immédiatement leurs clients Docker et à re‑générer les jetons d’accès afin d’invalider les éventuels tokens compromis. En l’absence de détails sur la portée exacte, il est prudent de revérifier l’intégrité de toutes les images poussées pendant les deux dernières années, en recourant à des signatures numériques (Docker Content Trust ou Notary). Enfin, la communauté est encouragée à surveiller les journaux d’activité du registre pour détecter toute tentative d’upload anormale.
