BuildKit vulnerable to malicious frontend causing file escape outside of storage root

BuildKit permite que frontends maliciosos escritos por usuarios eludan las restricciones de almacenamiento y guarden archivos fuera del directorio permitido. Esto es peligroso cuando se utilizan frontends no confiables.

Una vulnerabilidad de traversal de ruta (CWE-22) en el procesamiento de frontends de BuildKit permite que un atacante que controla una imagen frontend personalizada cree mensajes de API que escapen del directorio de estado del contexto de ejecución. El ataque requiere que la víctima use un frontend no confiable mediante la directiva `#syntax` o `--build-arg BUILDKIT_SYNTAX`; los frontends estándar como `docker/dockerfile` no se ven afectados. La explotación exitosa permite escribir archivos arbitrarios fuera de la raíz de almacenamiento, potencialmente provocando escalada de privilegios o compromiso del sistema.