Plattform
docker
Komponente
docker
Behoben in
0.28.2
0.28.1
Docker BuildKit is a toolkit designed to streamline the conversion of source code into build artifacts. A vulnerability discovered in versions before 0.28.1 allows for potential unauthorized access to files outside the intended Git repository root due to insufficient validation of Git URL fragment subdirectories. This impacts builds utilizing Git URLs with a subpath component and can lead to exposure of files on the same mounted filesystem; version 0.28.1 addresses this issue.
CVE-2026-33748 in Docker betrifft eine unzureichende Validierung von Git-URL-Fragment-Unterverzeichnis-Komponenten (<url>#<ref>:<subdir>, [docs](https://docs.docker.com/build/concepts/context/#url-fragments)). Dies könnte den Zugriff auf Dateien außerhalb des ausgecheckten Git-Repository-Wurzelverzeichnisses ermöglichen. Der Zugriff ist auf Dateien auf demselben gemounteten Dateisystem beschränkt. Ein Angreifer könnte dies möglicherweise ausnutzen, um sensible Informationen zu lesen, wenn er die in einem Dockerfile verwendete Git-URL kontrollieren kann. Diese Schwachstelle unterstreicht die Bedeutung einer sorgfältigen Kontrolle der Quellen des in Ihren Docker-Builds verwendeten Codes.
Zur Ausnutzung ist die Kontrolle über die in der Dockerfile verwendete Git-URL erforderlich. Dies könnte der Fall sein, wenn ein Dockerfile ein externes, nicht vertrauenswürdiges Git-Repository verwendet oder wenn ein böswilliger Akteur die Dockerfile ändern kann. Durch das Erstellen einer bösartigen Git-URL mit einem Unterverzeichnis-Fragment könnte ein Angreifer möglicherweise während des Build-Prozesses auf Dateien außerhalb des vorgesehenen Repositorys zugreifen. Der Erfolg der Ausnutzung hängt von der Fähigkeit des Angreifers ab, den Build-Kontext und die Berechtigungen des gemounteten Dateisystems zu beeinflussen.
Exploit-Status
EPSS
0.02% (6% Perzentil)
CISA SSVC
Die Behebung dieses Problems liegt in der Aktualisierung auf Version 0.28.1 von Docker oder höher. Die primäre Mitigation besteht darin, auf diese Version oder höher zu aktualisieren. Wenn ein sofortiges Upgrade nicht möglich ist, vermeiden Sie die Verwendung von Git-URLs mit Unterverzeichnissen in Dockerfiles, insbesondere bei der Verwendung von nicht vertrauenswürdigen Quellen. Überprüfen und prüfen Sie regelmäßig Ihre Dockerfiles, um sicherzustellen, dass sie sichere Codierungspraktiken einhalten. Erwägen Sie die Implementierung strengerer Zugriffskontrollen und Build-Umgebungsisolationen, um die potenziellen Auswirkungen dieser Schwachstelle weiter zu reduzieren.
Actualice BuildKit a la versión 0.28.1 o posterior. Evite construir Dockerfiles desde fuentes no confiables o usar el componente subdir de un repositorio Git no confiable donde el componente subdir podría apuntar a un enlace simbólico.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Ein Git-URL-Fragment ist ein Mechanismus, um ein Unterverzeichnis oder eine bestimmte Referenz innerhalb eines Git-Repositorys anzugeben, wenn es in einer Dockerfile verwendet wird. Es folgt dem Format <url>#<ref>:<subdir>.
Wenn Sie Docker verwenden und Ihre Dockerfiles Git-URLs mit Unterverzeichnissen verwenden, sind Sie möglicherweise betroffen. Überprüfen Sie Ihre Docker-Version und aktualisieren Sie sie auf 0.28.1 oder höher.
Es bezieht sich auf das Dateisystem, auf dem der Docker-Build-Prozess ausgeführt wird. Der Zugriff ist auf Dateien in diesem Dateisystem beschränkt.
Derzeit gibt es keine speziellen automatisierten Tools dafür. Der manuelle Check der Dockerfiles ist derzeit der beste Ansatz.
Isolieren Sie das betroffene System, überprüfen Sie die Docker- und Systemprotokolle auf verdächtige Aktivitäten und ziehen Sie in Betracht, von einer sauberen Sicherung wiederherzustellen.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Lade deine Dockerfile-Datei hoch und wir sagen dir sofort, ob du betroffen bist.