CVE-2026-121520

Malicious client could set xattr value outside of BuildKit state directory

CVSS 3.1Medium

4.5/ 10.0

Опубликовано

3 ноября 2026 г.

Обновлено

3 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите BuildKit до версии v0.34.1.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Клиент BuildKit может установить расширенный атрибут файла вне каталога состояния сервиса.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Клиент с доступом к BuildKit control API отправляет запрос на сборку, задающий расширенные атрибуты (включая пространства trusted. или security.), что потенциально дает повышенные привилегии программе на хосте. Проблема затрагивает сервисы сборки, принимающие запросы от недоверенных пользователей.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Потенциальное повышение привилегий программы на хосте за счет установки расширенных атрибутов вне каталога состояния BuildKit.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/moby/buildkit/security/advisories/GHSA-w26x-xg27-7qjc

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-121520: Malicious client could set xattr value outside of BuildKit state directory. URL: https://cve.futuretools.ru/cve/CVE-2026-121520

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_121520,
  title = {{CVE-2026-121520: Malicious client could set xattr value outside of BuildKit state directory}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-121520}},
  note = {Оперативный инженерный анализ киберугроз}
}