---
cve: "CVE-2026-93322"
severity: "MEDIUM"
cvss: 6.9
epss: "0.1%"
vendor: "moby"
kev: false
exploited: false
published: "2026-10-05 18:17:39"
tags: [cve, security, medium]
source: tsecurity.de CVE-Dossier
exported: "2026-10-10T14:37:35+02:00"
---

# CVE-2026-93322

> 6.9 MEDIUM · 🧪 PoC

## Beschreibung

A malicious frontend can submit an LLB definition that causes buildkitd
to panic and terminate, interrupting all builds running on that daemon.

## CNA-Record (Kanon, cvelistV5)

- CNA: **Docker**
- State: PUBLISHED
- Stand: 2026-10-05 18:51:34
- CNA-CVSS: **6.9** (`CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`)

## CISA-Anreicherung (vulnrichment/ADP)

- CISA-SSVC (Coordinator, v2.0.3):
  - Exploitation: **none**
  - Automatable: **no**
  - Technical Impact: **partial**

## CVSS-Vektor

```
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
```

| Metrik | Wert | Bewertung |
|---|---|---|
| AV Angriffsvektor | Lokal | good |
| AC Komplexität | Gering | bad |
| PR Privilegien | Keine | bad |
| UI Interaktion | Keine | bad |

## Schwachstellen-Klasse

- **CWE-129** — Improper Validation of Array Index
  The product uses untrusted input when calculating or using an array index, but the product does not validate or incorrectly validates the index to ensure the index references a valid position within the array.

## Angriffsmuster (CAPEC)

- [CAPEC-100 — Overflow Buffers](https://capec.mitre.org/data/definitions/100.html) _(Severity: Very High)_

## Patch verfügbar (OSV)

- 8c91502cf280bd70a0c50912ce251c46a8881d9f (Commit)

## BSI-Hinweise (deutsch)

- [BuildKit: Mehrere Schwachstellen](https://wid.cert-bund.de/portal/wid/sicherheitshinweis/WID-SEC-W-2026-3741) — _BSI-Einstufung: hoch_
  Ein Angreifer kann mehrere Schwachstellen in BuildKit ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen sowie einen Denial-of-Service-Zustand auszulösen.

## Referenzen

- <https://github.com/moby/buildkit/security/advisories/GHSA-cv6p-7w7g-xjwq>
- <https://github.com/moby/buildkit/releases/tag/v0.33.1>

---
_Exportiert aus dem [tsecurity.de CVE-Dossier](https://tsecurity.de/sicherheitsluecken/cve-2026-93322/) · Datenquellen: EUVD (ENISA), NVD, OSV, CISA KEV, FIRST EPSS, Exploit-DB, BSI WID (CSAF)_