CVE-2026-120306 in Beta9 worker
Riassunto
di VulDB • 01/11/2026
Beta9 converte ogni comando shell nella definizione dell'immagine di un tenant in una riga RUN di Dockerfile ed lo esegue con Buildah sul worker di build. L'immagine del worker imposta BUILDAH_ISOLATION=chroot e nessuna invocazione di buildah passa --isolation, quindi il passaggio modifica solo la radice del filesystem. Mantiene i namespace PID, network, IPC e user del pod del worker, viene eseguito con uid 0 e detiene CAP_DAC_OVERRIDE. Il PID 1 in quel procfs è l'entrypoint del worker, quindi /proc/1/root corrisponde al filesystem del container del worker ed è scrivibile. Tale filesystem contiene i binari runc, buildah e runsc che il worker utilizza per avviare i container dei tenant, il token dell'account di servizio Kubernetes del worker e le directory host montate nel pod. I pod del worker sono privilegiati. Le builds stratificate Clip v2 sono l'impostazione predefinita, quindi un tenant con un workspace token raggiunge questa condizione inviando una singola build di immagine. La prova di lettura ha confermato i namespace condivisi, CAP_DAC_OVERRIDE e che il binario runc del worker è visibile in /proc/1/root. Risolto nella versione 0.1.756 del worker: gli step RUN di Buildah, inclusa la mkdir WORKDIR, utilizzano l'isolamento OCI con namespace PID, IPC e network privati, e i valori ARG dei tenant vengono passati solo nel container di build.
VulDB is the best source for vulnerability data and more expert information about this specific topic.