BuildKit 交互式容器 API 不验证权利检查 (CVE-2024-23653)
CVE编号
CVE-2024-23653利用情况
暂无补丁情况
N/A披露时间
2024-02-01漏洞描述
BuildKit是一个高效、表达力强且可重复的工具包，用于将源代码转换为构建产物。除了将容器作为构建步骤运行之外，BuildKit还提供了API用于基于构建的图像运行交互式容器。攻击者可以利用这些API要求BuildKit以特权的方式运行容器。通常情况下，只有在buildkitd配置启用了特殊的`security.insecure`授权，并且由初始化构建请求的用户允许时，才允许运行此类容器。该问题已在v0.12.5中修复。避免使用不受信任的来源的BuildKit前端。解决建议
"将组件 github.com/moby/buildkit 升级至 0.12.5 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/moby/buildkit/pull/4602 | |
| https://github.com/moby/buildkit/releases/tag/v0.12.5 | |
| https://github.com/moby/buildkit/security/advisories/GHSA-wr6v-9f75-vh2g |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-863 | 授权机制不正确 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论