🇰🇷 한글 설명
Buildx의 캐시 설정(cache-to/cache-from)에 사용자가 직접 입력한 credentials가 OpenTelemetry traces 및 BuildKit daemon 히스토리에 평문으로 기록되어 정보 노출될 수 있는 취약점입니다. 환경 변수 또는 레지스트리 인증을 통한 secrets는 영향을 받지 않습니다.
💡 쉬운 설명
Docker의 Buildx 빌드 도구에서 캐시 설정 시 직접 입력한 암호가 시스템 추적 기록에 평문으로 저장됩니다. 시스템 로그에 접근 가능한 사람은 누구나 이 암호를 볼 수 있습니다.
🇺🇸 원문 (English)
Buildx is a Docker CLI plugin that extends build capabilities using BuildKit.
Cache backends support credentials by setting secrets directly as attribute values in cache-to/cache-from configuration. When supplied as user input, these secure values may be inadvertently captured in OpenTelemetry traces as part of the arguments and flags for the traced CLI command. OpenTelemetry traces are also saved in BuildKit daemon's history records.
This vulnerability does not impact secrets passed to the Github cache backend via environment variables or registry authentication.
📍 영향받는 시스템
Buildx (Docker CLI plugin) - 특정 패치 버전 미명시
⚔️ 공격 벡터
cache-to/cache-from 설정 시 직접 입력한 credentials를 OpenTelemetry traces 및 BuildKit 히스토리에서 캡처
🛡️ 대응 방법
credentials을 환경 변수 또는 Docker 레지스트리 인증으로 대체하여 전달
🔧 검증 코드
설치된 Buildx 버전을 확인하고 공식 보안 권고에서 이 CVE 수정 버전 이상인지 확인
docker buildx version 2>/dev/null | grep -E 'buildx'