CVE-2026-93318

Zərərli bir təsvir (image), fərqli layer məzmunlarına malik olduğu halda digər təsvirdən olan DiffID-ləri təqdim edə bilər. Təsirə məruz qalan versiyalarda BuildKit, bu DiffID-lərin faktiki layer məzmunları ilə uyğunlaşdığını yoxlamadan onları keş və snapshot kimliyini müəyyən etmək üçün istifadə edə bilərdi. Paylaşılan və ya davamlı keşə malik BuildKit demonu ilk olaraq belə bir zərərli təsviri emal edərsə, daha sonra həmin təsvirdən istifadə edən qurma (build) prosesi hücumçunun nəzarətində olan layer məzmunlarını baza təsviri kimi qoşa bilər. Bu, zərərli təsvirdəki kodun qurbanın qurma prosesində işləməsinə şərait yarada bilər, məsələn, /bin/sh kimi tez-tez icra edilən yolun əvəzlənməsi vasitəsilə. Hücumçunun nəzarətində olan kod qurmaya qoşulmuş gizli məlumatları (secrets) oxuya, digər qurma resurslarına daxil ola, çıxış artefaktlarını dəyişdirə və ya qurma prosesini dayandıra bilər. Problem həm adi snapshotter-lərə, həm də stargz kimi gec çəkmə (lazy-pulling) snapshotter-lərinə təsir edir.