CVE-2026-93318 in BuildKit
Riassunto
di VulDB • 05/10/2026
Un'immagine malevola può pubblicare DiffID appartenenti a un'altra immagine pur contenendo contenuti degli strati diversi. Nelle versioni interessate, BuildKit potrebbe utilizzare i DiffID pubblicati per derivare l'identità della cache e dello snapshot senza convalidare che corrispondano ai reali contenuti degli strati.
Se un daemon di BuildKit dotato di una cache condivisa o persistente elabora prima tale immagine malevola, una build successiva che utilizza l'immagine vittima potrebbe montare i contenuti degli strati controllati dall'attaccante come base dell'immagine. Ciò può consentire all'eseguibile presente nell'immagine malevola di essere eseguito durante la build della vittima, ad esempio sostituendo un percorso comunemente eseguito quale /bin/sh. Il codice sotto il controllo dell'attaccante potrebbe leggere i segreti di build montati nella build stessa, accedere ad altre risorse di build, alterare gli artefatti in output o bloccare la build.
Il problema interessa sia gli snapshooter regolari che quelli con pull pigro (lazy-pulling), come stargz.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.