CVE-2026-93318 in BuildKit
Resumen
por VulDB • 2026-10-05
Una imagen maliciosa puede anunciar DiffIDs pertenecientes a otra imagen mientras contiene contenidos de capa diferentes. En las versiones afectadas, BuildKit podría utilizar los DiffIDs anunciados para derivar la identidad del caché y de la instantánea sin validar que coincidan con el contenido real de la capa.
Si un daemon de BuildKit con caché compartida o persistente procesa primero dicha imagen maliciosa, una compilación posterior que utilice la imagen víctima podría montar los contenidos de la capa controlados por el atacante como si fueran la imagen base. Esto puede permitir que se ejecute código procedente de la imagen maliciosa en la compilación de la víctima, por ejemplo, reemplazando rutas comúnmente ejecutadas como /bin/sh. El código controlado por el atacante podría leer secretos de compilación montados en la misma, acceder a otros recursos de compilación, alterar los artefactos resultantes o bloquear (hang) la compilación.
El problema afecta tanto a snapshotters regulares como a snapshotters de extracción diferida (lazy-pulling), tales como stargz.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.