CVE-2023-26054

BuildKit es un conjunto de herramientas para convertir código fuente para crear artefactos de manera eficiente, expresiva y repetible. En las versiones afectadas, cuando el usuario envía una solicitud de compilación que contiene una URL de Git que contiene credenciales y la compilación crea una atestación de procedencia que describe esa compilación, estas credenciales podrían ser visibles desde la atestación de procedencia. La URL de Git se puede pasar de dos maneras: 1) Invocando la compilación directamente desde una URL con credenciales. 2) Si el cliente envía parámetros de sugerencias de información del sistema de control de versiones (VCS) adicionales en compilaciones desde una fuente local. Por lo general, eso significaría leer la URL de origen del archivo `.git/config`. Cuando se realiza una compilación en condiciones específicas en las que se pasaron credenciales a BuildKit, es posible que sean visibles para todos los que tengan acceso a la certificación de procedencia. En la versión v0.11.0 se agregaron certificaciones de procedencia y sugerencias de información de VCS. Las versiones anteriores no son vulnerables. En la versión 0.10, al compilar directamente desde la URL de Git, la misma URL podría ser visible en la estructura `BuildInfo` que es una predecesora de las certificaciones de procedencia. Las versiones anteriores no son vulnerables. Este error se ha solucionado en v0.11.4. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden desactivar las sugerencias de información de VCS configurando `BUILDX_GIT_INFO=0`. `buildctl` no establece sugerencias de VCS basadas en el directorio `.git` y los valores deberían pasarse manualmente con `--opt`.

A flaw was found in the moby buildkit. When a build is performed under specific conditions where credentials were passed to BuildKit, it may be visible to everyone with access to provenance attestation.