PT-2024-1518 · Buildkit+2 · Buildkit+2
Rmcnamara-Snyk
·
Publicado
2024-01-31
·
Atualizado
2026-05-18
·
CVE-2024-23653
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do BuildKit anteriores à 0.12.5
Descrição
O problema está relacionado a uma falha na autorização do BuildKit, permitindo que um invasor remoto execute contêineres com privilégios elevados. O BuildKit fornece APIs para a execução de contêineres interativos com base em imagens pré-compiladas, e era possível usar essas APIs para solicitar ao BuildKit que executasse um contêiner com privilégios elevados. Normalmente, a execução desses contêineres só é permitida se a permissão especial
security.insecure estiver habilitada tanto na configuração do buildkitd quanto autorizada pelo usuário que inicializa a solicitação de compilação.Recomendações
Para versões anteriores à 0.12.5, atualize para a versão 0.12.5 ou posterior para corrigir o problema.
Como solução alternativa temporária, considere evitar o uso de front-ends do BuildKit provenientes de fontes não confiáveis.
Restrinja o acesso à permissão
security.insecure para minimizar o risco de exploração.Evite usar as APIs para executar contêineres interativos baseados em imagens compiladas até que o problema seja resolvido.
Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astra Linux
Buildkit
Suse