🇰🇷 한글 설명
BuildKit v0.28.1 이전 버전에서 Git URL의 subdir 컴포넌트에 대한 불충분한 검증으로 인해 체크아웃된 Git 저장소 루트 외부의 파일에 접근할 수 있습니다. 접근 가능 범위는 같은 마운트된 파일시스템 내로 제한되며, 심볼릭 링크를 통한 경로 우회 공격에 취약합니다.
💡 쉬운 설명
Docker 빌드 도구에서 Git 저장소 경로 설정 시 잘못된 파일에 접근할 수 있는 문제입니다. 신뢰할 수 없는 소스의 Dockerfile을 빌드할 때 주의가 필요합니다.
🇺🇸 원문 (English)
BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. Prior to version 0.28.1, insufficient validation of Git URL fragment subdir components may allow access to files outside the checked-out Git repository root. Possible access is limited to files on the same mounted filesystem. The issue has been fixed in version v0.28.1 The issue affects only builds that use Git URLs with a subpath component. As a workaround, avoid building Dockerfiles from untrusted sources or using the subdir component from an untrusted Git repository where the subdir component could point to a symlink.
📍 영향받는 시스템
BuildKit < v0.28.1
⚔️ 공격 벡터
신뢰할 수 없는 Git 저장소의 subdir 컴포넌트를 통해 심볼릭 링크가 가리키는 저장소 외부 파일 접근
🛡️ 대응 방법
BuildKit을 v0.28.1 이상으로 업그레이드하거나 신뢰할 수 있는 소스의 Dockerfile만 빌드
🔧 검증 코드
출력된 BuildKit 버전이 v0.28.1 이상이면 안전하고 그 이하이면 업그레이드 필요
docker buildx version 2>/dev/null | grep -oE 'v[0-9]+\.[0-9]+\.[0-9]+' | head -1