Podatności Docker Buildx

W Docker Buildx w wersjach od v0.19.0 do v0.38.0 niezaufana definicja Bake może ujawnić pliki dostępne dla klienta Buildx bez oczekiwanej zgody fs.read. Ścieżki w katalogu nadrzędnym bieżącego katalogu roboczego, których nazwy zaczynają się od nazwy katalogu roboczego, mogą pominąć sprawdzenie uprawnień do systemu plików. Problem naprawiono w wersji v0.38.1.

W Docker Buildx w wersjach od v0.19.0 do v0.38.0 niezaufana definicja Bake, która buduje wiele celów jednocześnie, może ujawnić pliki dostępne dla klienta Buildx bez oczekiwanej zgody fs.read. W pewnych warunkach ścieżki systemu plików z niektórych celów nie są weryfikowane względem zatwierdzonych uprawnień.

Docker Buildx Bake nie żąda oczekiwanej zgody fs.read dla niektórych danych wejściowych systemu plików. Niezaufana definicja Bake może ujawnić czytelny plik poprzez sekret bez ścieżki, którego identyfikator jest interpretowany jako ścieżka po stronie klienta, lub zużyć lokalny układ obrazu OCI poza projektem, gdy walidacja uprawnień sprawdza inną reprezentację ścieżki.