CVE-2026-120306

Nome do Software Vulnerável e Versões Afetadas Beta9 build worker versões anteriores a 0.1.756

Description Existe uma fuga de sandbox no processo de construção de imagens onde comandos de shell em uma definição de imagem de locatário são executados usando Buildah com BUILDAH ISOLATION=chroot. Como o processo retém os namespaces de PID, rede, IPC e usuário do pod do worker, enquanto executa como uid 0 com CAP DAC OVERRIDE (uma capacidade que permite ignorar verificações de permissão de leitura, gravação e execução de arquivos), um invasor pode acessar o sistema de arquivos do container do worker via /proc/1/root. Isso permite que um locatário com um token de espaço de trabalho assuma o controle do build worker e leia seu token de conta de serviço do Kubernetes, bem como acesse os binários runc, buildah e runsc e diretórios do host montados no pod.

Recommendations Atualize para a versão 0.1.756 ou posterior.