CVE-2026-42574

apko pozwala użytkownikom budować i publikować obrazy kontenerów OCI z pakietów apk. Od wersji 0.2.0 do przed 1.4.5, funkcje UserEntry.Parse i GroupEntry.Parse w pkg/passwd odczytują pola UID i GID z /etc/passwd i /etc/group za pomocą strconv.Atoi i konwertują je na uint32 bez sprawdzania zakresu. Na platformach 64-bitowych wartość poza zakresem, taka jak 4294967296 (2^32), jest obcinana do 0, a wartości ujemne zawijają się. Ponieważ apko parsuje wpisy passwd i group dostarczane przez instalowane pakiety i zapisuje je z powrotem do obrazu, atakujący kontrolujący pakiet zainstalowany w obrazie może dostarczyć wpis, który wydaje się deklarować nieuprzywilejowany UID lub GID, ale jest zapisywany w zbudowanym obrazie jako UID 0 lub GID 0 (root). Obcięty UID jest również używany przy rozwiązywaniu użytkownika run-as obrazu. Problem został naprawiony w wersji 1.4.5.

W narzędziu apko przed wersją 1.2.7 funkcja DiscoverKeys w pliku pkg/apk/apk/implementation.go bezwarunkowo rzutuje klucze JWKS na *rsa.PublicKey bez sprawdzenia typu klucza. Jeśli punkt końcowy JWKS repozytorium zwróci klucz inny niż RSA (np. EC), niezaznaczone rzutowanie powoduje panikę i awarię apko. Dotyczy to każdego przepływu pracy inicjującego bazę danych APK i pobierającego klucze repozytorium.

apko, narzędzie do budowania obrazów kontenerów OCI z pakietów apk, w wersjach przed 1.2.7 weryfikuje podpis na APKINDEX.tar.gz, ale nie porównuje indywidualnie pobranych pakietów .apk z sumą kontrolną zapisaną w podpisanym indeksie. Atakujący, który może podmienić odpowiedzi pobierania (np. skompromitowane mirror, repozytorium HTTP, zatruta pamięć podręczna CDN), może zainstalować dowolne pakiety w budowanych obrazach.