Une base de données Docker Hub expose les données sensibles de 190 000 utilisateurs

Les jetons d’accès GitHub et Bitbucket stockés dans Docker Hub permettent aux développeurs de modifier le code de leur projet et de le faire construire ou construire automatiquement à partir l’image sur Docker Hub. Cependant, si un tiers accède à ces jetons, cela lui permettrait d’accéder à un dépôt privé de code source, voire même de le modifier.

Si ces jetons ont été utilisés à mauvais escient, des attaques pourraient en résulter étant donné que les images Docker Hub sont couramment utilisées dans les configurations et les applications en production.

Bien que Docker ait déclaré avoir déjà révoqué tous les jetons et les clés d’accès exposés, il est important que les développeurs qui utilisent la fonctionnalité AutoBuild de Docker Hub vérifient leurs dépôts pour y rechercher des accès non autorisés.

Comment savoir si vous êtes affectés par cet accès non autorisé ? Si vous avez directement reçu un e-mail de Docker à propos de cet incident, vous avez peut-être été impacté. Si vous avez reçu un lien de réinitialisation de mot de passe, l’empreinte de votre mot de passe a été potentiellement exposée.

De plus, aucune image officielle de Docker n’a été compromise. Docker déclare avoir mis en place des mesures de sécurité supplémentaires pour ses images officielles, notamment les signatures GPG sur les commits, ainsi qu’une signature pour garantir l’intégrité de chaque image.