Podatności apko
3 znanych podatności CVE w apko, przetłumaczonych i ocenionych.
- CVE-2026-42576Średnie
W narzędziu apko przed wersją 1.2.7 funkcja DiscoverKeys w pliku pkg/apk/apk/implementation.go bezwarunkowo rzutuje klucze JWKS na *rsa.PublicKey bez sprawdzenia typu klucza. Jeśli punkt końcowy JWKS repozytorium zwróci klucz inny niż RSA (np. EC), niezaznaczone rzutowanie powoduje panikę i awarię apko. Dotyczy to każdego przepływu pracy inicjującego bazę danych APK i pobierającego klucze repozytorium.
- CVE-2026-42575Wysokie
apko, narzędzie do budowania obrazów kontenerów OCI z pakietów apk, w wersjach przed 1.2.7 weryfikuje podpis na APKINDEX.tar.gz, ale nie porównuje indywidualnie pobranych pakietów .apk z sumą kontrolną zapisaną w podpisanym indeksie. Atakujący, który może podmienić odpowiedzi pobierania (np. skompromitowane mirror, repozytorium HTTP, zatruta pamięć podręczna CDN), może zainstalować dowolne pakiety w budowanych obrazach.
- CVE-2026-42574Wysokie
Podatność w apko (wersje od 0.14.8 do przed 1.2.5) umożliwia spreparowanemu pakietowi .apk zainstalowanie dowiązania symbolicznego typu TypeSymlink wskazującego poza katalog budowania. Kolejne wpisy w archiwum mogą podążać za tym dowiązaniem, uzyskując dostęp do ścieżek systemu hosta, do których użytkownik budujący ma prawo zapisu.