🇰🇷 한글 설명
악성 이미지가 실제 레이어 내용과 다른 DiffID를 광고하여 BuildKit이 이를 검증 없이 캐시 및 스냅샷 ID로 사용하게 만드는 취약점입니다. 공격자는 이를 통해 피해자의 빌드 과정에서 악성 레이어를 베이스 이미지로 마운트하여 빌드 비밀 정보를 탈취하거나 빌드 결과물을 조작할 수 있습니다.
💡 쉬운 설명
가짜 정보를 담은 이미지를 이용해 빌드 시스템을 속이는 공격입니다. 이를 통해 해커가 빌드 과정에 몰래 침투하여 중요한 비밀번호를 훔치거나 프로그램을 변조할 수 있습니다.
🇺🇸 원문 (English)
A malicious image can advertise DiffIDs from another image while containing different layer contents. In affected versions, BuildKit could use the advertised DiffIDs to derive cache and snapshot identity without validating that they matched the actual layer contents.
If a BuildKit daemon with shared or persistent cache first processes such a malicious image, a later build using the victim image may mount the attacker-controlled layer contents as the base image. This can allow code from the malicious image to run in the victim build, for example by replacing a commonly executed path such as /bin/sh. The attacker-controlled code may read build secrets mounted into the build, access other build resources, alter output artifacts, or hang the build.
The issue affects both regular snapshotters and lazy-pulling snapshotters such as stargz.
📍 영향받는 시스템
BuildKit (일반 스냅샷터 및 stargz와 같은 레이지 풀링 스냅샷터 포함)
⚔️ 공격 벡터
조작된 DiffID를 포함한 악성 이미지를 빌드 시스템에 처리시켜 캐시를 오염시키는 방식
🛡️ 대응 방법
BuildKit을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 BuildKit 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고안과 비교하십시오.
buildkitd --version 2>/dev/null || docker version | grep BuildKit
💻 영향받는 소프트웨어
IBM Verify Identity Access