CVE-2026-42574
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w apko (wersje od 0.14.8 do przed 1.2.5) umożliwia spreparowanemu pakietowi .apk zainstalowanie dowiązania symbolicznego typu TypeSymlink wskazującego poza katalog budowania. Kolejne wpisy w archiwum mogą podążać za tym dowiązaniem, uzyskując dostęp do ścieżek systemu hosta, do których użytkownik budujący ma prawo zapisu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zapisu plików poza katalogiem budowania, potencjalnie modyfikując krytyczne pliki systemowe lub instalując złośliwe oprogramowanie.
Rekomendacja
Zaktualizuj apko do wersji 1.2.5 lub nowszej.
Inne podatności w apko
Zobacz wszystkie- CVE-2026-42576Średnie
W narzędziu apko przed wersją 1.2.7 funkcja DiscoverKeys w pliku pkg/apk/apk/implementation.go bezwarunkowo rzutuje klucze JWKS na *rsa.PublicKey bez sprawdzenia typu klucza. Jeśli punkt końcowy JWKS repozytorium zwróci klucz inny niż RSA (np. EC), niezaznaczone rzutowanie powoduje panikę i awarię apko. Dotyczy to każdego przepływu pracy inicjującego bazę danych APK i pobierającego klucze repozytorium.
- CVE-2026-42575Wysokie
apko, narzędzie do budowania obrazów kontenerów OCI z pakietów apk, w wersjach przed 1.2.7 weryfikuje podpis na APKINDEX.tar.gz, ale nie porównuje indywidualnie pobranych pakietów .apk z sumą kontrolną zapisaną w podpisanym indeksie. Atakujący, który może podmienić odpowiedzi pobierania (np. skompromitowane mirror, repozytorium HTTP, zatruta pamięć podręczna CDN), może zainstalować dowolne pakiety w budowanych obrazach.
Oryginalny opis (angielski, źródło NVD)
apko allows users to build and publish OCI container images built from apk packages. From version 0.14.8 to before version 1.2.5, a crafted .apk could install a TypeSymlink tar entry whose target pointed outside the build root, and a subsequent directory-creation or file-write entry in the same or later archive could traverse that symlink to reach host paths the build user could write to. This issue has been patched in version 1.2.5.