Lavi Lazarovitz, Security Research Team Lead, chez CyberArk, estime que cette faille de sécurité pourrait conduire à une attaque sur la chaîne de développement, à cause de la compromission de tokens à privilèges.

« La fonctionnalité de construction automatique (autobuild) est en effet utilisée pour intégrer du code source à Docker Hub ; chaque modification du code crée alors une nouvelle image utilisable par les développeurs et les équipes DevOps. Les jetons sont utilisés pour l’authentification et ne permettent généralement qu’un accès limité à la lecture du code et à ses métadonnées. Il est par conséquent impossible de modifier le code dans la plupart des cas – mais des répertoires privés peuvent toutefois être exposés.

Pourquoi cette compromission de Docker Hub suscite-t-elle alors autant d’inquiétude ? Parce que, lorsqu’un droit d’écriture est accordé à un token d’accès, l’image accessible au public – qui s’appuie sur le code source compromis – peut être masquée ou infectée, ce qui peut donc affecter les applications et les services reposant sur l’image compromise. Par exemple, un développeur peut choisir de télécharger une image de serveur Web qui a été masquée et vulnérabiliser ainsi son propre serveur. En multipliant ce chiffre par le nombre de développeurs utilisateurs de ce service, il est facile de constater l’étendue potentielle de la surface d’attaque. »