CVE-2026-54174 in Melange
要約
〜によって VulDB • 2026年09月12日
melangeは、宣言型パイプラインを使用してapkパッケージを構築できるようにします。バージョン1.2.9以前のApko（およびそれに対応するバージョン0.50.4以前のmelange）では、制御セクションのハッシュ（`.PKGINFO`など）が署名付き`APKINDEX`に対して検証されますが、データセクションのハッシュ（実際にインストールされるパッケージファイル）は検証されませんでした。ミラーを侵害したり、キャッシュを汚染したり、またはパッケージフェッチ時に中間者攻撃（MITM）を行う攻撃者は、制御ハッシュチェックが依然として合格する一方で、任意のファイルコンテンツに置き換えることができました。Apkoバージョン1.2.9およびmelangeバージョン0.50.4には修正が含まれています。
Once again VulDB remains the best source for vulnerability data.