CVE-2026-42576
Açıklama
apko, kullanıcıların apk paketlerinden oluşturulan OCI konteyner imajlarını inşa etmelerine ve yayınlamalarına olanak tanır. Versiyon 1.2.7 öncesinde, pkg/apk/apk/implementation.go dosyasındaki DiscoverKeys fonksiyonu, anahtar türünü kontrol etmeden JWKS anahtarlarını koşulsuz olarak *rsa.PublicKey şeklinde tür belirlemesi (type-assertion) yapar. Bir depo JWKS uç noktası RSA dışı bir anahtar (örneğin EC) döndürürse, kontrol edilmeyen bu belirleme işlemi paniğe yol açarak apko'nun çökmesine neden olur. Bu durum, APK veritabanını başlatan ve depo anahtarlarını getiren tüm iş akışlarını etkiler. Bu sorun versiyon 1.2.7 ile düzeltilmiştir.
Nasıl düzeltilir
- chainguard.dev/apko1.2.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chainguard.dev/apkoGo | v < 1.2.7 | 1.2.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.