CVE-2026-42576 in apko
요약
\~에 의해 VulDB • 2026. 05. 10.
apko는 apk 패키지로 구성된 OCI 컨테이너 이미지를 빌드하고 게시할 수 있게 해줍니다. 버전 1.2.7 이전의 apko에서는 pkg/apk/apk/implementation.go의 DiscoverKeys 함수가 키 타입을 확인하지 않고 JWKS 키를 무조건 *rsa.PublicKey로 타입 단언(type-assert)합니다. 저장소 JWKS 엔드포인트가 RSA가 아닌 키(예: EC)를 반환하면, 확인되지 않은 단언으로 인해 apko가 패닉 상태에 빠져 충돌합니다. 이 문제는 APK 데이터베이스를 초기화하고 저장소 키를 가져오는 모든 워크플로우에 영향을 미칩니다. 이 이슈는 버전 1.2.7에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.