Docker Hub: 조직 전환 시 토큰 이전 차단, 소유자 동의·변경 이력 강화

1. 소유자 변경이 권한 오용으로 이어진 과정

Docker Hub는 저장소를 다른 계정으로 옮기는 기능 대신 개인 계정을 조직으로 전환하는 기능을 제공한다. 저장소 주소를 유지해 기존 이미지 내려받기 경로가 깨지지 않게 하면서, 기존 계정 하나를 조직 소유자로 지정하는 방식이다.

문제는 전환된 계정의 개인 액세스 토큰도 새 소유자에게 재배정됐다는 점이다. 토큰은 비밀번호 대신 자동화에 쓰는 인증 수단이다. 소유자 기록만 바뀌고 비밀값은 교체되거나 폐기되지 않았으며, 새 소유자에게 동의나 알림도 없었다.

공격자는 자기 계정에서 토큰을 만든 뒤 계정을 조직으로 전환하면서 피해자를 소유자로 지정할 수 있었다. 그러면 공격자가 알고 있는 비밀값으로 피해자처럼 인증할 수 있었다. 남이 가진 출입증의 명의만 피해자로 바꾼 셈이다.

도커는 이 문제를 CVE-2026-105445로 공개했다. 토큰 권한 범위에서 피해자와 피해자가 접근할 수 있는 조직의 저장소 이미지를 내려받거나 올리거나 삭제할 수 있어, 정상 이름으로 이미지를 배포하는 공급망 위험으로 평가했다. 웹 화면 접근이나 비밀번호·이메일·2단계 인증 설정 변경, 계정 탈취는 불가능했다고 설명했다.

2. 수정과 영향 통지의 범위

노출 기간은 2024년 8월 26일 20:33 UTC부터 2026년 9월 30일 약 19:10 UTC까지다. 도커는 신고를 받은 지 네 시간 미만에 수정본을 운영 환경에 배포했으며, 계정 전환 시 토큰 이전을 없앴다. 이 경로의 권한 오용을 막은 대신 새 소유자는 토큰을 다시 만들어야 한다.

도커는 2026년 10월 2일 오후 5시 30분에 영향을 받을 수 있는 사용자와 관련 조직 소유자에게 이메일을 보냈다. 이어 10월 8일 오후 3시 45분에 이전된 토큰을 비활성화했으나, 기한 전에 소유자가 유지를 요청한 토큰은 제외했다. 두 시각은 공지의 미국 동부 시간 표기다.

통지에는 대상 토큰의 설명과 생성일이 담겼다. 도커에 따르면 해당 이메일을 받지 않았다면 본인과 관리하는 조직의 구성원은 이 취약점에 노출되지 않았으며, 별도 조치가 필요 없다.

3. 악용 조사 결과와 남은 사각지대

도커는 문제가 도입된 날 이후의 계정 전환 전체를 조사했다. 인증 로그, 서비스 사용 데이터, 토큰 기록을 대조해 여러 신원으로 쓰인 토큰을 찾았고, 이전된 토큰으로 이미지를 올린 약 30만 4,000건을 모두 살펴봤다.

악용 증거는 발견되지 않았다. 이미지 업로드는 전환된 조직이나 새 소유자의 저장소로만 향했고, 무관한 사용자나 조직으로 향한 기록은 없었다. 대다수 전환은 같은 사람이나 팀이 두 계정을 소유한 정상 사용이었다.

두 계정을 같은 사람이 통제했는지 확인하지 못한 전환 뒤에 올라온 고위험 공개 이미지는 실행하지 않고 정적으로 분석했다. 악성 코드나 암호화폐 채굴, 명령 제어 통신 등의 흔적은 없었으며, 도커 자체 인프라나 서비스가 영향을 받았다는 증거도 없었다고 밝혔다.

다만 로그는 토큰 사용을 기록할 뿐 존재 자체를 기록하지 않아, 이전됐지만 쓰이지 않은 토큰은 흔적이 없다. 도커는 탐지 여부로 대상을 가르지 않고 노출 기간에 전환으로 옮겨진 토큰을 모두 영향 가능 대상으로 처리했다.

4. 사용자가 확인할 일과 후속 변경

일반적인 보안 점검으로는 계정 설정의 개인 액세스 토큰 화면에서 모르는 토큰이나 더 쓰지 않는 토큰을 폐기하도록 권고했다. 조직의 자동화에는 개인 토큰보다 조직 액세스 토큰을 쓰라는 권고도 제시했다.

도커는 후속 조치로 조직 소유자 지정 전 동의와 지정 후 알림, 토큰 소유권 변경의 감사 가능한 이력 기록, 다른 자격 증명 소유권 변경 흐름의 점검을 제시했다. 사용 흔적에 의존하던 조사에서 소유권 변경 자체를 기록하는 방향으로 보완하는 조치다.

이번 대응의 핵심은 토큰 이전을 차단하고, 조직 소유자 지정에는 동의를, 토큰 소유권 변경에는 추적할 기록을 갖추는 데 있다.