CVE-2026-42575 in apko
الملخص
بحسب VulDB • 12/05/2026
تتيح أداة apko للمستخدمين بناء ونشر صور حاويات OCI مبنية من حزم apk. قبل الإصدار 1.2.7، كانت apko تتحقق من التوقيع على ملف APKINDEX.tar.gz، لكنها لم تقم مطلقاً بمقارنة الحزم الفردية التي تم تنزيلها بصيغة .apk مع قيمة التجزئة (checksum) المسجلة في الفهرس الموقّع. يتم تحليل قيمة التجزئة وجعلها متاحة عبر الدالة ChecksumString()، كما يتم حساب تجزئة التحكم للحزمة المنزلة، لكن القيمتين لا يتم مقارنتهما أبداً داخل الدالة getPackageImpl(). يتم قبول الحزم غير المتطابقة بصمت. يمكن لمهاجم قادر على استبدال استجابات التنزيل (مثل المرآة المخترقة، أو مستودع HTTP، أو ذاكرة التخزين المؤقت لـ CDN المسمومة) تثبيت حزم عشوائية داخل الصور المبنية. تم إصلاح هذه المشكلة في الإصدار 1.2.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.