CVE-2026-61711
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
BuildKit, narzędzie do budowania artefaktów, przed wersją 0.31.1 zawiera podatność, w której niestandardowy frontend może umieścić nieprawidłową wartość SecurityMode w spreparowanym żądaniu budowy. Executor traktuje tę wartość jako tryb bez sandboxa, nie wymagając uprawnienia security.insecure, co wyłącza ochronę Seccomp i AppArmor dla kontenera budowy, mimo że ograniczenia Linux capabilities pozostają.
Ocena ryzyka
Ryzyko polega na możliwości uruchomienia kontenera budowy bez zabezpieczeń Seccomp i AppArmor, co zwiększa powierzchnię ataku i może pozwolić na eskalację uprawnień lub nieautoryzowane działania w środowisku budowy.
Rekomendacja
Zaleca się aktualizację BuildKit do wersji 0.31.1 lub nowszej. Należy również zweryfikować konfigurację frontendów i upewnić się, że nieautoryzowane wartości SecurityMode nie są akceptowane.
Oryginalny opis (angielski, źródło NVD)
BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. Prior to 0.31.1, a custom frontend could place an invalid SecurityMode value in a crafted build request, and executor/oci/spec_linux.go treated the unsupported value as a non-sandbox mode without requiring the security.insecure entitlement. This disabled Seccomp and AppArmor protections for the build container even though Linux capabilities remained restricted. This issue is fixed in version 0.31.1.