BentoML: Injection von Dockerfile-Instruktionen über docker.env-Schlüssel

Zusammenfassung

BentoML bis einschliesslich 1.4.39 filtert Zeilenumbrüche in docker.env-Schlüsseln nicht, die über das veraltete Template base.j2 gerendert werden. Ein Angreifer, der eine manipulierte bentofile.yaml oder ein importiertes Bento-Archiv bereitstellt, kann beliebige RUN-Instruktionen einschleusen, die beim docker build ausgeführt werden, sobald ein Opfer bentoml containerize startet. Dadurch können Build-Secrets offengelegt und vergiftete Container-Images erzeugt werden. Der Angriff erfordert Benutzerinteraktion und einen Build von angreiferkontrollierten Inhalten.

Betroffen

• BentoML 0 bis 1.4.39
• Veraltetes Dockerfile-Template base.j2, Dict-Form der docker.env-Schlüssel

Behoben in

Unbekannt. Es gibt keine vom Hersteller bestätigte behobene Version. Eine Behebung in BentoML 1.4.40 ist nicht bestätigt.

Umgehung

• Bentos nur aus vertrauenswürdigen Quellen erstellen und bentofile.yaml vor bentoml containerize auf mehrzeilige oder ungewöhnliche docker.env-Schlüssel prüfen.
• Bento-Archive von unbekannten Dritten nicht importieren.
• Builds in isolierten CI-Runnern ohne Produktions-Secrets, Registry-Zugangsdaten oder Cloud-Schlüssel ausführen.

Ausnutzung

• Für die Dict-Form von docker.env in v1.4.39 ist ein öffentlicher Proof of Concept verfügbar.
• CISA SSVC: Exploitation-Status poc, nicht automatisierbar.
• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bestätigt.

Unsere Empfehlung

• Prüfen, ob BentoML-Images aus Drittquellen oder aus unbekannten bentofile.yaml-Dateien beziehungsweise Bento-Archiven gebaut werden.
• Build-Pipelines isolieren und Produktions-Secrets daraus entfernen.
• Den BentoML-Projektstand auf eine bestätigte Behebung verfolgen und Images nach dem Update neu bauen.
• Bestehende Images prüfen, die aus unbekannten Eingaben entstanden sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• OSV entry CVE-2026-112264 osv.dev
• BentoML build_config.py at v1.4.39 github.com
• BentoML container __init__.py at v1.4.39 github.com
• Proof of concept write-up (Hugging Face) huggingface.co
• BentoML GitHub releases github.com
• HOL Guard CVE entry hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:25.