該公司開始向客戶發(fā)送有關(guān)4月25日前一天發(fā)生的安全事件的消息后，該漏洞曝光。在2019年4月25日星期四，我們發(fā)現(xiàn)未經(jīng)授權(quán)訪問存儲(chǔ)一部分非財(cái)務(wù)用戶數(shù)據(jù)的單個(gè)Hub數(shù)據(jù)庫，”Docker支持總監(jiān)Kent Lamb表示。Docker說，黑客只能在短時(shí)間內(nèi)訪問這個(gè)數(shù)據(jù)庫，但大約有190,000名用戶的數(shù)據(jù)已被曝光。該公司表示，這個(gè)數(shù)字僅占Docker Hub整個(gè)用戶群的5%。目前還不清楚黑客是否從這個(gè)Docker Hub服務(wù)器下載了任何用戶數(shù)據(jù)，但如果他這樣做了，他可能已獲得訪問Docker Hub用戶名，散列密碼以及用于自動(dòng)構(gòu)建Docker容器映像的Github和Bitbucket令牌。Docker現(xiàn)在正在通知用戶并提示重置密碼。

“對于可能受到影響的autobuild的用戶，我們已經(jīng)撤銷了GitHub令牌和訪問密鑰，并要求您重新連接到您的存儲(chǔ)庫并檢查安全日志以查看是否發(fā)生了任何意外操作，”Lamb在公司電子郵件中說道。送客戶。

該公司還要求用戶查看GitHub和Bitbucket帳戶登錄日志，以便從未知IP地址進(jìn)行任何未經(jīng)授權(quán)的訪問。

雖然只有190,000個(gè)似乎是一個(gè)小漏洞，但事實(shí)并非如此。絕大多數(shù)Docker Hub用戶都是大公司內(nèi)部的員工，他們可能正在使用他們的帳戶自動(dòng)構(gòu)建容器，然后在實(shí)際生產(chǎn)環(huán)境中部署這些容器。

用戶未能更改其帳戶密碼，并且可能將其帳戶autobuild修改為包含惡意軟件。

Docker表示，它仍在調(diào)查此事件，并將在可用時(shí)分享詳細(xì)信息。安全事件未在公司網(wǎng)站上披露，但僅通過電子郵件披露。完整電子郵件的副本可在此處或下圖中找到。