🇰🇷 한글 설명
BuildKit의 WCOW(Windows 컨테이너 기반) 워커에서 cache mount source= 선택자가 캐시 루트 내부에 배치된 NTFS 디렉터리 정션을 탐지하지 못합니다. 신뢰할 수 없는 사용자가 작성한 빌드를 통해 BuildKit 데몬 프로세스가 접근 가능한 호스트의 임의 파일을 읽을 수 있습니다.
💡 쉬운 설명
빌드 캐시 기능의 보안 검사가 특정 Windows 링크(정션)를 걸러내지 못합니다. 이를 악용하면 외부 사용자가 빌드 서버의 임의 파일을 읽을 수 있습니다.
🇺🇸 원문 (English)
BuildKit's cache mount source= selector on Windows Container on Windows (WCOW) workers does not detect NTFS directory junctions placed inside the cache root. A build authored by an untrusted user on a WCOW-configured BuildKit daemon can read arbitrary host files reachable to the BuildKit daemon process.
📍 영향받는 시스템
Windows 컨테이너 워커(WCOW)를 사용하는 BuildKit 데몬 (패치 이전 버전)
⚔️ 공격 벡터
악의적인 빌드 정의에서 캐시 루트 내부에 NTFS 정션을 만들고 cache mount source=로 지정해 호스트 파일을 마운트/읽기
🛡️ 대응 방법
BuildKit을 CVE-2026-15788 수정이 포함된 최신 버전으로 업데이트하고, 신뢰할 수 없는 빌드 실행을 제한
🔧 검증 코드
출력된 BuildKit 버전을 벤더의 보안 권고문에서 명시한 수정 버전과 비교하여, 같거나 높으면 패치된 것이고 낮으면 취약한 것입니다.
buildctl --version 2>/dev/null || docker buildx version 2>/dev/null