CVE-2026-42575
Təsvir
apko istifadəçilərə apk paketlərindən qurulmuş OCI konteyner imicləri yaratmağa və dərc etməyə imkan verir. Versiya 1.2.7-dək apko APKINDEX.tar.gz faylındakı imzanı yoxlayır, lakin fərdi şəkildə yüklənmiş .apk paketlərini imzalanmış indeksdə qeyd olunan checksum ilə heç vaxt müqayisə etmir. Checksum parse edilir və ChecksumString() vasitəsilə əlçatan olur, həmçinin yüklənmiş paketin kontrol heşi (hash) hesablanır, lakin getPackageImpl() funksiyasında bu iki dəyər heç vaxt müqayisə edilmir. Uyğunsuz paketlər səssizcə qəbul edilir. Yükləmə cavablarını əvəz edə bilən hücumçu (kompromisə uğramış güzgü server, HTTP repozitoriyası, zəhərlənmiş CDN keşləri) qurulan imiclərə ixtiyari paketlər quraşdıra bilər. Bu problem versiya 1.2.7-də aradan qaldırılmışdır.
Necə düzəltmək olar
- chainguard.dev/apko1.2.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| chainguard.dev/apkoGo | v < 1.2.7 | 1.2.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.