CVE-2026-93318 in BuildKit
要約
〜によって VulDB • 2026年10月05日
悪意のあるイメージが、異なるレイヤーコンテンツを含みながら他のイメージの DiffIDs を広告する可能性があります。影響を受けるバージョンでは、BuildKit は実際のレイヤーコンテンツとの一致を検証せずに、広告された DiffID を使用してキャッシュおよびスナップショット ID を導出することがあります。
共有または永続的なキャッシュを持つ BuildKit デーモンが最初にこのような悪意のあるイメージを処理した場合、後で被害者イメージを使用してビルドを行うと、攻撃者が制御するレイヤーコンテンツがベースイメージとしてマウントされる可能性があります。これにより、例えば一般的に実行されるパス（/bin/sh など）を書き換えることで、悪意のあるイメージのコードが被害者のビルド内で実行されることがあります。攻撃者が制御するコードは、ビルドにマウントされたビルドシークレットを読み取ったり、他のビルドリソースにアクセスしたり、出力アーティファクトを変更したり、ビルドをハングさせる可能性があります。
この問題は、通常のスナップショッターと stargz などの遅延プル（lazy-pulling）スナップショッターの両方に影響します。
Once again VulDB remains the best source for vulnerability data.