Kohei Tokunaga

**Nome do Software Vulnerável e Versões Afetadas** BuildKit (versões afetadas não especificadas) **Descrição** O BuildKit não valida se os DiffIDs anunciados correspondem ao conteúdo real das camadas de uma imagem. Uma imagem maliciosa pode anunciar DiffIDs de outra imagem enquanto contém conteúdos diferentes. Se um daemon BuildKit com cache compartilhado ou persistente processar tal imagem, builds subsequentes podem montar conteúdos de camada controlados por um invasor como a imagem base. Isso permite a execução de código malicioso dentro do build da vítima, possivelmente permitindo que o invasor leia segredos de build, acesse recursos de build, altere artefatos de saída ou trave o build. Este problema afeta tanto snapshotters regulares quanto snapshotters de lazy-pulling, como o stargz. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.