BuildKit vulnerable to malicious frontend causing file escape outside of storage root

BuildKit permite que frontends maliciosos escritos por usuários contornem as restrições de armazenamento e salvem arquivos fora do diretório permitido. Isso é perigoso quando frontends não confiáveis são usados.

Uma vulnerabilidade de travessia de diretório (CWE-22) no processamento de frontends do BuildKit permite que um atacante controlando uma imagem frontend customizada crie mensagens de API que escapem do diretório de estado do contexto de execução. O ataque requer que a vítima use um frontend não confiável via diretiva `#syntax` ou `--build-arg BUILDKIT_SYNTAX`; frontends padrão como `docker/dockerfile` não são afetados. A exploração bem-sucedida possibilita escrita arbitrária de arquivos fora da raiz de armazenamento, potencialmente levando a escalação de privilégios.