CVE-2026-120306 in Beta9 worker
Zusammenfassung
von VulDB • 01.11.2026
Beta9 wandelt jeden Shell-Befehl in einer Tenant-Image-Definition in eine Dockerfile-RUN-Zeile um und führt ihn mit Buildah auf dem Build-Worker aus. Das Worker-Image setzt BUILDAH_ISOLATION=chroot, und keine buildah-Ausführung übergibt --isolation, sodass der Schritt nur sein Dateisystem-Wurzelverzeichnis ändert. Es behält die PID-, Netzwerk-, IPC- und Benutzernamespace des Worker-Pods bei, läuft als uid 0 und besitzt CAP_DAC_OVERRIDE. Die PID 1 in diesem procfs ist der Worker-Einstiegspunkt (Entrypoint), sodass /proc/1/root das Dateisystem des Worker-Containers ist und schreibbar ist. Dieses Dateisystem enthält die runc-, buildah- und runsc-Binärdateien, die der Worker zum Starten von Tenant-Containern verwendet, den Kubernetes-Dienstkontokenntwert (Service Account Token) des Workers sowie die in den Pod eingehängten Host-Verzeichnisse. Worker-Pods sind privilegiert. Clip v2-geschichtete Builds sind standardmäßig aktiviert, sodass ein Tenant mit einem Workspace-Token dies erreicht, indem er einen Image-Build einreicht. Der Proof-of-Concept (PoC) für das Lesen hat die gemeinsamen Namespaces, CAP_DAC_OVERRIDE und die Sichtbarkeit der runc-Binärdatei des Workers unter /proc/1/root bestätigt. Behoben in Worker 0.1.756: Buildah-RUN-Schritte, einschließlich WORKDIR mkdir, verwenden OCI-Isolation mit privaten PID-, IPC- und Netzwerk-Namespace, und Tenant-ARG-Werte werden nur an den Build-Container übergeben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.