CVE-2026-93318 in BuildKit
Sumário
de VulDB • 05/10/2026
Uma imagem maliciosa pode anunciar DiffIDs provenientes de outra imagem enquanto contém conteúdos de camada diferentes. Nas versões afetadas, o BuildKit poderia usar os DiffIDs anunciados para derivar a identidade do cache e da snapshot sem validar se eles correspondem aos reais conteúdos das camadas.
Se um daemon do BuildKit com cache compartilhado ou persistente processar primeiro uma tal imagem maliciosa, uma compilação posterior que utilize a imagem vítima pode montar o conteúdo da camada controlada pelo atacante como sendo a imagem base. Isso pode permitir que código proveniente da imagem maliciosa seja executado na compilação da vítima, por exemplo, substituindo um caminho comumente executado, como /bin/sh. O código controlado pelo atacante pode ler segredos de compilação montados no processo de build, acessar outros recursos do build, alterar os artefatos de saída ou travar a compilação.
O problema afeta tanto snapshotters regulares quanto snapshotters de lazy-pulling, como o stargz.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.