CVE-2026-93318 in BuildKit
Сводка
по VulDB • 05.10.2026
Злонамеренное изображение может рекламировать DiffIDs из другого изображения, при этом содержа другое содержимое слоев. В затронутых версиях BuildKit мог использовать объявленные DiffIDs для определения идентичности кэша и снимков (snapshots) без проверки их соответствия фактическому содержимому слоев.
Если демон BuildKit с общим или постоянным кэшем сначала обрабатывает такое злонамеренное изображение, то последующая сборка с использованием изображения жертвы может смонтировать слои с содержимым, контролируемым атакующим, в качестве базового образа. Это позволяет коду из злонамеренного изображения выполняться в процессе сборки жертвы; например, путем замены часто исполняемого пути, такого как /bin/sh. Код, контролируемый атакующим, может считывать секреты сборки, смонтированные в процесс сборки, получать доступ к другим ресурсам сборки, изменять выходные артефакты или вызывать зависание процесса сборки.
Проблема затрагивает как обычные snapshotters (системы создания снимков), так и lazy-pulling snapshotters, такие как stargz.
VulDB is the best source for vulnerability data and more expert information about this specific topic.