CVE-2026-93318
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Złośliwy obraz może reklamować DiffID z innego obrazu, zawierając jednocześnie inną zawartość warstw. W dotkniętych wersjach BuildKit mógł używać reklamowanych DiffID do wyprowadzania tożsamości pamięci podręcznej i snapshotów bez weryfikacji, czy odpowiadają one rzeczywistej zawartości warstw. Jeśli demon BuildKit ze wspólną lub trwałą pamięcią podręczną najpierw przetworzy taki złośliwy obraz, późniejsza kompilacja z użyciem obrazu ofiary może zamontować zawartość warstw kontrolowanych przez atakującego jako obraz bazowy. Może to pozwolić na uruchomienie kodu ze złośliwego obrazu w kompilacji ofiary, na przykład przez zastąpienie często wykonywanej ścieżki, takiej jak /bin/sh. Kod kontrolowany przez atakującego może odczytać sekrety budowania zamontowane w kompilacji, uzyskać dostęp do innych zasobów budowania, zmienić artefakty wyjściowe lub zawiesić kompilację. Problem dotyczy zarówno zwykłych snapshotterów, jak i snapshotterów z leniwym pobieraniem, takich jak stargz.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod do procesu budowania, co może prowadzić do kradzieży sekretów, naruszenia integralności artefaktów lub przerwania działania systemu CI/CD.
Rekomendacja
Zaleca się aktualizację BuildKit do wersji zawierającej poprawkę oraz weryfikację integralności obrazów przed użyciem ich w procesach budowania.
Inne podatności w BuildKit
Zobacz wszystkie- CVE-2026-93321Średnie
Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie buildy uruchomione na tym demonie.
- CVE-2026-93315Średnie
Gdy włączone jest proxy sieciowe z wstrzykiwaniem CA, proces budowania może zmodyfikować własny pakiet CA przed fazą czyszczenia. Może to spowodować zablokowanie czyszczenia, działanie poza głównym systemem plików budowania lub niepowodzenie bez oznaczenia budowania jako nieudane.
- CVE-2026-97275Średnie
Podatność nieprawidłowej walidacji określonej ilości w danych wejściowych w VillaTheme BuildKit – Product Builder for WooCommerce – Custom PC Builder woo-product-builder umożliwia manipulację danymi wejściowymi. Problem dotyczy BuildKit – Product Builder for WooCommerce – Custom PC Builder: od n/a do 1.0.28.
- CVE-2026-93323Średnie
Frontend Dockerfile ładował pliki Dockerfile i .dockerignore do pamięci bez limitu rozmiaru. Kontekst budowania zawierający zbyt duży plik mógł spowodować alokację pamięci proporcjonalną do rozmiaru pliku, co mogło wyczerpać pamięć i zakończyć działanie demona buildkitd, przerywając inne budowania.
- CVE-2026-93322Średnie
Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie budowania na tym demonie.
- CVE-2026-93320Średnie
BuildKit może zostać oszukany, aby wykonywać operacje na plikach ze specjalnymi i-węzłami tam, gdzie oczekiwane są zwykłe pliki. Specjalne pliki mogą blokować operacje lub, na workerach z uprawnieniami roota, umożliwić nieautoryzowany dostęp do urządzeń hosta.
- CVE-2026-93319Średnie
Złośliwy zewnętrzny frontend BuildKit może wysyłać żądania przy użyciu wewnętrznego API, które mogą stworzyć warunki do wyścigu danych, powodując panikę demona BuildKit.
- CVE-2026-93317Średnie
Nieuwierzytelniony atakujący kontrolujący rejestr lub źródło blobów OCI-layout może dostarczyć zawartość blobów niezgodną z zadeklarowanym skrótem. Wynikowy snapshot może zostać zapisany w pamięci podręcznej pod tym skrótem i wykorzystany przez późniejsze budowanie ofiary, naruszając integralność danych wejściowych budowania.
- CVE-2026-93316Wysokie
Jeśli demon BuildKit zostanie uruchomiony z opcją --cdi-disabled, może to doprowadzić do paniki demona, gdy kompilacje próbują użyć urządzeń CDI. Może się to zdarzyć celowo lub przypadkowo.
- CVE-2026-94298Średnie
Wtyczka WordPress BuildKit w wersji przed 1.0.29 nie sanityzuje i nie escapuje prawidłowo danych przesyłanych przez użytkowników z poziomem współpracownika przed ich zapisaniem i późniejszym użyciem w zapytaniu SQL. Umożliwia to współpracownikowi wstrzyknięcie SQL, który zostanie wykonany na bazie danych, gdy wynikowa treść zostanie opublikowana i wyświetlona przez dowolnego nieuwierzytelnionego odwiedzającego.
Oryginalny opis (angielski, źródło NVD)
A malicious image can advertise DiffIDs from another image while containing different layer contents. In affected versions, BuildKit could use the advertised DiffIDs to derive cache and snapshot identity without validating that they matched the actual layer contents. If a BuildKit daemon with shared or persistent cache first processes such a malicious image, a later build using the victim image may mount the attacker-controlled layer contents as the base image. This can allow code from the malicious image to run in the victim build, for example by replacing a commonly executed path such as /bin/sh. The attacker-controlled code may read build secrets mounted into the build, access other build resources, alter output artifacts, or hang the build. The issue affects both regular snapshotters and lazy-pulling snapshotters such as stargz.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS