CVE-2026-105768

apko, kullanıcıların apk paketlerinden oluşturulan OCI konteyner imajlarını inşa etmelerine ve yayınlamalarına olanak tanır. 0.2.0 sürümünden 1.4.5 sürümü öncesine kadar, pkg/passwd içerisindeki UserEntry.Parse ve GroupEntry.Parse fonksiyonları, /etc/passwd ve /etc/group girişlerinin UID ve GID alanlarını strconv.Atoi ile okumakta ve bir aralık kontrolü yapmadan uint32 türüne dönüştürmektedir. 64 bit platformlarda, 4294967296 (2^32) gibi aralık dışı bir değer 0'a kırpılır ve negatif değerler döngüye girer (wrap). apko, yüklediği paketler tarafından sağlanan passwd ve group girişlerini ayrıştırıp bunları tekrar imaja yazdığı için, imaja yüklenen bir paketi kontrol eden bir saldırgan, ayrıcalıksız bir UID veya GID beyan ediyor gibi görünen ancak oluşturulan imaja UID 0 veya GID 0 (root) olarak yazılan bir giriş gönderebilir. Kırpılmış UID, imajın çalıştırılacağı kullanıcı çözümlenirken de kullanılır. Bu sorun 1.4.5 sürümünde düzeltilmiştir.