CVE-2024-23650mediumCWE-754

CVE-2024-23650: falha de média gravidade em moby buildkit

BuildKit possible panic when incorrect parameters sent from frontend

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar BuildKit+ Monitorar docker

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 1.1%
Em resumo

Um cliente BuildKit malicioso pode enviar requisições especialmente preparadas que derrubam o daemon BuildKit, causando uma negação de serviço. Esta vulnerabilidade afeta sistemas que usam BuildKit com frontends não confiáveis.

Detalhe técnico

O daemon BuildKit falha com panic devido a tratamento inadequado de erros (CWE-754) ao receber parâmetros malformados de um cliente frontend. Um atacante com acesso à API do BuildKit pode disparar uma condição de panic não tratada, resultando em negação de serviço. Requer acesso de rede ou local ao daemon BuildKit.

Resumo gerado e traduzido por IA a partir da descrição oficial.
BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. A malicious BuildKit client or frontend could craft a request that could lead to BuildKit daemon crashing with a panic. The issue has been fixed in v0.12.5. As a workaround, avoid using BuildKit frontends from untrusted sources.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
moby · buildkit
CVEs relacionadas — moby buildkit

No mesmo produto, das mais perigosas para as menos.

CVE-2024-23653CRITICALBuildKit interactive containers API does not validate entitlements checkEPSS 3.4%CVE-2024-23652CRITICALBuildKit possible host system access from mount stub cleanerEPSS 2.5%CVE-2023-26054MEDIUMCredentials inlined to Git URLs could end up in provenance attestation in BuildKitEPSS 1.0%CVE-2024-23651HIGHBuildKit possible race condition with accessing subpaths from cache mountsEPSS 0.9%CVE-2026-75593HIGHBuildKit: Malicious client can bypass destination directory validation on local sources uploadEPSS 0.5%CVE-2026-33747HIGHBuildKit vulnerable to malicious frontend causing file escape outside of storage rootEPSS 0.5%