目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-93318— 未验证镜像层DiffIDs导致缓存投毒漏洞

一分钟漏洞结论

影响对象
moby BuildKit
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

恶意镜像可以声明来自另一张镜像的 DiffID（差异层标识），但其实际层内容却不同。在受影响的版本中，BuildKit 可能会使用这些声明的 DiffID 来推导缓存和快照标识，而未验证它们是否与实际的层内容相匹配。 如果拥有共享或持久缓存的 BuildKit 守护进程首先处理了此类恶意镜像，后续使用受害镜像的构建过程可能会将攻击者控制的层内容挂载为基础镜像。这使得恶意镜像中的代码能够在受害者的构建过程中运行，例如通过替换频繁执行的路径（如 /bin/sh）。攻击者控制的代码可能读取挂载到构建过程中的构建密钥、访问

CVSS 7.5 · High

影响版本矩阵 1

厂商产品 版本范围状态
moby BuildKit < 0.33.1 affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-93318 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Cache poisoning via unvalidated image layer DiffIDs
来源: CVE Program / CVE List V5
Vulnerability Description
A malicious image can advertise DiffIDs from another image while containing different layer contents. In affected versions, BuildKit could use the advertised DiffIDs to derive cache and snapshot identity without validating that they matched the actual layer contents. If a BuildKit daemon with shared or persistent cache first processes such a malicious image, a later build using the victim image may mount the attacker-controlled layer contents as the base image. This can allow code from the malicious image to run in the victim build, for example by replacing a commonly executed path such as /bin/sh. The attacker-controlled code may read build secrets mounted into the build, access other build resources, alter output artifacts, or hang the build. The issue affects both regular snapshotters and lazy-pulling snapshotters such as stargz.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
完整性检查值验证不恰当
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
moby BuildKit 0 ~ 0.33.1 -

二、漏洞 CVE-2026-93318 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-93318 的情报信息

请登录查看更多情报信息。

CVE-2026-93318 其他参考 (2)

同批安全公告 · moby · 2026-10-05 · 共 8 条

CVE-2026-93316 7.1 HIGH 启动参数--cdi-disabled导致特定构建崩溃
CVE-2026-93322 6.9 MEDIUM BuildKit 解析畸形 MergeOp 导致守护进程崩溃漏洞
CVE-2026-93323 6.8 MEDIUM Buildkit 内存耗尽漏洞
CVE-2026-93320 6.0 MEDIUM BuildKit 构建快照中特殊文件处理不当漏洞
CVE-2026-93326 6.0 MEDIUM Git 构建源码绕过策略验证漏洞
CVE-2026-93317 5.9 MEDIUM 容器镜像缓存可接受未验证内容
CVE-2026-93319 5.7 MEDIUM 前端恶意攻击导致守护进程崩溃漏洞

IV. Related Vulnerabilities

Same product: BuildKit
Same vendor: moby
Same weakness: CWE-354

V. Comments for CVE-2026-93318

暂无评论

发表评论