DUPIN Alertas · mobyhttps://alertas.dupin.com.ar/fabricante/moby/Alertas de vulnerabilidades de moby.esWed, 04 Nov 2026 01:18:21 +000010Vulnerabilidad: CVE-2026-121520 · Escritura de atributos extendidos fuera del directorio de estado en BuildKithttps://alertas.dupin.com.ar/cve/CVE-2026-121520/tg:63109Wed, 04 Nov 2026 01:18:21 +0000VulnerabilidadUn cliente malicioso con acceso a las API de control de BuildKit puede enviar una solicitud de compilación que establece un atributo extendido en un archivo fuera del directorio de estado de BuildKit, incluso en los espacios de nombres trusted. o security., lo que podría otorgar privilegios elevados a un programa en el host. Afecta a servicios de compilación que aceptan solicitudes de usuarios no confiables y se corrige en v0.34.1.Vulnerabilidad: CVE-2026-121522 · Denegación de servicio en el resolvedor de fuentes Git de BuildKithttps://alertas.dupin.com.ar/cve/CVE-2026-121522/tg:63105Wed, 04 Nov 2026 00:28:16 +0000VulnerabilidadEn BuildKit v0.26.0 a v0.34.1, una definición de build que resuelve dos veces los metadatos de la misma referencia de fuente Git puede provocar un panic del daemon y su caída, interrumpiendo los builds que maneja. Se corrige en v0.34.2.Exploit público: CVE-2026-17106 · Escritura fuera del directorio destino en la extracción de tar de moby/go-archivehttps://alertas.dupin.com.ar/cve/CVE-2026-17106/tg:60982Sat, 24 Oct 2026 08:01:39 +0000Exploit públicoLas rutinas de extracción de tar de moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed y los helpers ApplyLayer) no confinan las operaciones de filesystem al directorio destino. El extractor decide dónde cae cada entrada mediante comprobaciones léxicas de cadenas y luego opera sobre una ruta resuelta por el sistema operativo, por lo que los enlaces introducidos por el archivo pueden seguirse fuera del directorio destino. Un atacante que controla el contenido de un archivo puede crear o sobrescribir…