CVE-2026-42576
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W narzędziu apko przed wersją 1.2.7 funkcja DiscoverKeys w pliku pkg/apk/apk/implementation.go bezwarunkowo rzutuje klucze JWKS na *rsa.PublicKey bez sprawdzenia typu klucza. Jeśli punkt końcowy JWKS repozytorium zwróci klucz inny niż RSA (np. EC), niezaznaczone rzutowanie powoduje panikę i awarię apko. Dotyczy to każdego przepływu pracy inicjującego bazę danych APK i pobierającego klucze repozytorium.
Ocena ryzyka
Atakujący może spowodować awarię apko, co prowadzi do przerwania budowania obrazów kontenerów i potencjalnie do odmowy usługi (DoS) w środowiskach CI/CD.
Rekomendacja
Należy zaktualizować apko do wersji 1.2.7 lub nowszej, która zawiera poprawkę sprawdzającą typ klucza przed rzutowaniem.
Inne podatności w apko
Zobacz wszystkie- CVE-2026-42575Wysokie
apko, narzędzie do budowania obrazów kontenerów OCI z pakietów apk, w wersjach przed 1.2.7 weryfikuje podpis na APKINDEX.tar.gz, ale nie porównuje indywidualnie pobranych pakietów .apk z sumą kontrolną zapisaną w podpisanym indeksie. Atakujący, który może podmienić odpowiedzi pobierania (np. skompromitowane mirror, repozytorium HTTP, zatruta pamięć podręczna CDN), może zainstalować dowolne pakiety w budowanych obrazach.
- CVE-2026-42574Wysokie
Podatność w apko (wersje od 0.14.8 do przed 1.2.5) umożliwia spreparowanemu pakietowi .apk zainstalowanie dowiązania symbolicznego typu TypeSymlink wskazującego poza katalog budowania. Kolejne wpisy w archiwum mogą podążać za tym dowiązaniem, uzyskując dostęp do ścieżek systemu hosta, do których użytkownik budujący ma prawo zapisu.
Oryginalny opis (angielski, źródło NVD)
apko allows users to build and publish OCI container images built from apk packages. Prior to version 1.2.7, DiscoverKeys in pkg/apk/apk/implementation.go unconditionally type-asserts JWKS keys as *rsa.PublicKey without checking the key type. If a repository JWKS endpoint returns a non-RSA key (e.g. EC), the unchecked assertion panics and crashes apko. This affects any workflow that initializes the APK database and fetches repository keys. This issue has been patched in version 1.2.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS