CVE-2026-42575 in apko
Sumário
de VulDB • 02/06/2026
O apko permite que os usuários criem e publiquem imagens de contêiner OCI construídas a partir de pacotes apk. Antes da versão 1.2.7, o apko verifica a assinatura do APKINDEX.tar.gz, mas nunca compara os pacotes .apk baixados individualmente com o checksum registrado no índice assinado. O checksum é analisado e disponibilizado via ChecksumString(), e o hash de controle do pacote baixado é calculado, mas os dois valores nunca são comparados em getPackageImpl(). Pacotes com valores incompatíveis são aceitos silenciosamente. Um atacante que possa substituir as respostas de download (espelho comprometido, repositório HTTP, cache de CDN envenenado) pode instalar pacotes arbitrários nas imagens construídas. Este problema foi corrigido na versão 1.2.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.