Docker가 계정을 조직으로 전환하는 과정의 PAT 권한 이전 취약점인 CVE-2026-105445를 공개했습니다. PAT는 자동화 등에 사용하는 개인 액세스 토큰입니다. Docker는 9월 30일 제보 당일 수정했고 잠재적 영향 대상에는 별도 통지했다고 설명합니다. Docker 공식 발표
공개 내용은 이전된 토큰이 대상 사용자의 레지스트리 접근 범위를 갖게 되는 문제입니다. Docker는 웹 계정의 비밀번호나 2단계 인증 설정 변경까지 가능했던 문제와는 구분했습니다. 수정 완료 사건을 지금 발생 중인 전체 계정 탈취처럼 소개하면 범위가 달라집니다.
이 글의 목차
이미지를 올릴 수 있는 권한이 중요한 이유
컨테이너 레지스트리는 배포에 사용할 이미지를 보관합니다. 자동화가 특정 이름의 이미지를 가져와 실행한다면 그 이름으로 이미지를 게시할 권한도 소프트웨어 공급 경로의 일부가 됩니다. 웹 화면의 비밀번호를 바꾸지 못하더라도 이미지 게시나 삭제 권한은 운영에 영향을 줄 수 있어요. 이번 공지는 계정 전체의 탈취와 레지스트리 권한 문제를 구분해서 읽어야 합니다.
PAT는 자동화가 사용자를 대신해 작업할 때 쓰는 비밀 값입니다. 토큰의 비밀 값이 그대로인데 소유 신원이나 연결 권한이 바뀌면, 같은 값을 가진 주체가 예상과 다른 접근 범위를 갖게 될 수 있습니다. 그래서 토큰을 점검할 때는 이름과 생성일뿐 아니라 소유자, 허용 작업, 사용하는 파이프라인을 함께 확인해야 합니다.
태그와 다이제스트는 다른 증거가 됩니다
태그는 이미지에 붙인 이름이며 같은 태그가 가리키는 내용은 바뀔 수 있습니다. 다이제스트는 특정 이미지 내용을 식별하는 값입니다. 어떤 배포가 영향을 받았는지 조사할 때 태그 이름만 남아 있으면 당시 실행한 내용을 확정하기 어려울 수 있어요. 레지스트리 게시 기록과 배포가 실제 사용한 다이제스트를 연결해 보존하는 이유입니다.
현재 실행 중인 이미지가 정상이라는 사실만으로 과거 배포 이력까지 설명되지는 않습니다. 의심 기간에 게시된 이미지, 이를 가져간 빌드와 배포, 이후 새 이미지로 교체된 시점을 구분합니다. 이 작업은 이미지 변경의 영향 범위를 확인하는 방법이며, 특정 태그를 사용했다는 사실만으로 악성 이미지가 실행됐다고 판단하는 것은 아닙니다.
공급업체 통지와 내부 기록을 맞추는 흐름
영향 대상 통지를 받은 조직은 통지에 나온 토큰과 계정을 먼저 확인하고, 담당 파이프라인의 정상 작업 시간과 게시·삭제 기록을 대조합니다. 토큰을 교체할 때는 비밀 값만 바꾸는 데 그치지 않고 기존 토큰의 비활성화와 새 토큰의 권한 범위를 확인합니다. 배포 자동화가 어떤 계정을 소유자로 쓰는지도 함께 정리합니다.
다만 Docker는 이 취약점의 노출 대상에 별도로 통지했으며, 해당 통지를 받지 않았다면 이 전환 흐름으로 노출된 대상이 아니라고 안내합니다. 일반적인 레지스트리 보안 점검은 계속할 수 있지만 이를 이 사건의 피해 증거로 섞지 않습니다. 조직 자동화의 토큰과 개인 작업용 토큰을 나누면 앞으로 소유자가 바뀔 때 점검할 범위도 명확해집니다.
통지를 받은 조직의 확인 자료
- Docker의 대상 통지와 관련 계정·조직을 확인합니다.
- 토큰 권한과 이미지 게시·삭제 이력을 정상 작업과 대조합니다.
- 실행 중인 배포가 어떤 이미지 다이제스트를 사용하는지 기록합니다.
일반적인 토큰 점검과 이 사건의 영향 판정은 분리합니다. 영향 여부는 공급업체 통지와 자신의 기록에 근거해 판단합니다.
발표문 기준일: 2026-10-12 · 확인일: 2026-10-24
.jpg){kind=link}