从缓存挂载访问子路径时，BuildKit 可能存在竞争条件 (CVE-2024-23651)
CVE编号
CVE-2024-23651利用情况
暂无补丁情况
N/A披露时间
2024-02-01漏洞描述
BuildKit是一款用于高效、表达性和可重复地将源代码转换为构建工件的工具包。在并行运行的两个恶意构建步骤中，如果共享了具有子路径的相同缓存挂载点，可能会导致竞争条件，从而使宿主系统的文件可以被构建容器访问。该问题在v0.12.5中已经修复。解决方法包括：避免从不受信任的源使用BuildKit前端，或构建一个包含缓存挂载点和--mount=type=cache,source=...选项的不受信任的Dockerfile。解决建议
"将组件 github.com/moby/buildkit 升级至 0.12.5 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/moby/buildkit/pull/4604 | |
| https://github.com/moby/buildkit/releases/tag/v0.12.5 | |
| https://github.com/moby/buildkit/security/advisories/GHSA-m3r6-h7wv-7xxv |
- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 无
- 影响范围 已更改
- 用户交互 无
- 可用性 无
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-362 | 使用共享资源的并发执行不恰当同步问题（竞争条件） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论