CVE-2026-33748
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
BuildKit w wersjach przed 0.28.1 ma niewystarczającą walidację komponentu subdir w fragmentach URL Git, co może pozwolić na dostęp do plików poza katalogiem głównym sklonowanego repozytorium Git. Dostęp jest ograniczony do plików w tym samym zamontowanym systemie plików.
Ocena ryzyka
Osoba atakująca może uzyskać dostęp do plików poza repozytorium podczas budowania z niezaufanego źródła, co może prowadzić do wycieku danych. Podatność dotyczy tylko budowań używających URL Git z komponentem subpath.
Rekomendacja
Zaktualizuj BuildKit do wersji 0.28.1, która naprawia podatność. Jako obejście unikaj budowania Dockerfile z niezaufanych źródeł lub używania komponentu subdir z niezaufanych repozytoriów Git.
Inne podatności w BuildKit
Zobacz wszystkie- CVE-2026-93321Średnie
Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie buildy uruchomione na tym demonie.
- CVE-2026-93315Średnie
Gdy włączone jest proxy sieciowe z wstrzykiwaniem CA, proces budowania może zmodyfikować własny pakiet CA przed fazą czyszczenia. Może to spowodować zablokowanie czyszczenia, działanie poza głównym systemem plików budowania lub niepowodzenie bez oznaczenia budowania jako nieudane.
- CVE-2026-97275Średnie
Podatność nieprawidłowej walidacji określonej ilości w danych wejściowych w VillaTheme BuildKit – Product Builder for WooCommerce – Custom PC Builder woo-product-builder umożliwia manipulację danymi wejściowymi. Problem dotyczy BuildKit – Product Builder for WooCommerce – Custom PC Builder: od n/a do 1.0.28.
- CVE-2026-93323Średnie
Frontend Dockerfile ładował pliki Dockerfile i .dockerignore do pamięci bez limitu rozmiaru. Kontekst budowania zawierający zbyt duży plik mógł spowodować alokację pamięci proporcjonalną do rozmiaru pliku, co mogło wyczerpać pamięć i zakończyć działanie demona buildkitd, przerywając inne budowania.
- CVE-2026-93322Średnie
Złośliwy frontend może przesłać definicję LLB, która powoduje panikę i zakończenie działania buildkitd, przerywając wszystkie budowania na tym demonie.
- CVE-2026-93320Średnie
BuildKit może zostać oszukany, aby wykonywać operacje na plikach ze specjalnymi i-węzłami tam, gdzie oczekiwane są zwykłe pliki. Specjalne pliki mogą blokować operacje lub, na workerach z uprawnieniami roota, umożliwić nieautoryzowany dostęp do urządzeń hosta.
- CVE-2026-93319Średnie
Złośliwy zewnętrzny frontend BuildKit może wysyłać żądania przy użyciu wewnętrznego API, które mogą stworzyć warunki do wyścigu danych, powodując panikę demona BuildKit.
- CVE-2026-93318Wysokie
Złośliwy obraz może reklamować DiffID z innego obrazu, zawierając jednocześnie inną zawartość warstw. W dotkniętych wersjach BuildKit mógł używać reklamowanych DiffID do wyprowadzania tożsamości pamięci podręcznej i snapshotów bez weryfikacji, czy odpowiadają one rzeczywistej zawartości warstw. Jeśli demon BuildKit ze wspólną lub trwałą pamięcią podręczną najpierw przetworzy taki złośliwy obraz, późniejsza kompilacja z użyciem obrazu ofiary może zamontować zawartość warstw kontrolowanych przez atakującego jako obraz bazowy. Może to pozwolić na uruchomienie kodu ze złośliwego obrazu w kompilacji ofiary, na przykład przez zastąpienie często wykonywanej ścieżki, takiej jak /bin/sh. Kod kontrolowany przez atakującego może odczytać sekrety budowania zamontowane w kompilacji, uzyskać dostęp do innych zasobów budowania, zmienić artefakty wyjściowe lub zawiesić kompilację. Problem dotyczy zarówno zwykłych snapshotterów, jak i snapshotterów z leniwym pobieraniem, takich jak stargz.
- CVE-2026-93317Średnie
Nieuwierzytelniony atakujący kontrolujący rejestr lub źródło blobów OCI-layout może dostarczyć zawartość blobów niezgodną z zadeklarowanym skrótem. Wynikowy snapshot może zostać zapisany w pamięci podręcznej pod tym skrótem i wykorzystany przez późniejsze budowanie ofiary, naruszając integralność danych wejściowych budowania.
- CVE-2026-93316Wysokie
Jeśli demon BuildKit zostanie uruchomiony z opcją --cdi-disabled, może to doprowadzić do paniki demona, gdy kompilacje próbują użyć urządzeń CDI. Może się to zdarzyć celowo lub przypadkowo.
Oryginalny opis (angielski, źródło NVD)
BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. Prior to version 0.28.1, insufficient validation of Git URL fragment subdir components may allow access to files outside the checked-out Git repository root. Possible access is limited to files on the same mounted filesystem. The issue has been fixed in version v0.28.1 The issue affects only builds that use Git URLs with a subpath component. As a workaround, avoid building Dockerfiles from untrusted sources or using the subdir component from an untrusted Git repository where the subdir component could point to a symlink.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS