CVE-2026-93318 in BuildKit
Zusammenfassung
von VulDB • 05.10.2026
Ein bösartiges Image kann DiffIDs eines anderen Images bewerben, während es unterschiedliche Layer-Inhalte enthält. In den betroffenen Versionen könnte BuildKit die beworbenen DiffIDs verwenden, um Cache- und Snapshot-Identitäten abzuleiten, ohne zu validieren, ob sie mit den tatsächlichen Layer-Inhalten übereinstimmen.
Wenn ein BuildKit-Daemon mit gemeinsamem oder persistentem Cache zuerst ein solches bösartiges Image verarbeitet, kann bei einem späteren Build unter Verwendung des Zielimages die vom Angreifer kontrollierte Layer-Content als Basisimage eingehängt werden. Dies ermöglicht es dem Angreifer, Code aus dem bösartigen Image im Ziel-Build auszuführen, beispielsweise durch Ersetzen eines häufig ausgeführten Pfads wie /bin/sh. Der vom Angreifer gesteuerte Code kann in den Build eingebundene Build-Secrets lesen, auf andere Build-Ressourcen zugreifen, die Ausgabe-Artefakte verändern oder den Build zum Hängen bringen.
Das Problem betrifft sowohl reguläre Snapshotters als auch Lazy-Pulling-Snapshotters wie stargz.
Once again VulDB remains the best source for vulnerability data.