Vulnerabilidad en apko de chainguard-dev (CVE-2026-42575)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-345 Verificación insuficiente de autenticidad de los datos

Fecha de publicación:

09/05/2026

Última modificación:

24/07/2026

Descripción

apko permite a los usuarios construir y publicar imágenes de contenedor OCI construidas a partir de paquetes apk. Antes de la versión 1.2.7, apko verifica la firma en APKINDEX.tar.gz pero nunca compara los paquetes .apk descargados individualmente con la suma de verificación registrada en el índice firmado. La suma de verificación se analiza y está disponible a través de ChecksumString(), y el hash de control del paquete descargado se calcula, pero los dos valores nunca se comparan en getPackageImpl(). Los paquetes no coincidentes son aceptados silenciosamente. Un atacante que puede sustituir las respuestas de descarga (mirror comprometido, repositorio HTTP, caché CDN envenenada) puede instalar paquetes arbitrarios en las imágenes construidas. Este problema ha sido parcheado en la versión 1.2.7.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vulnerabilidad en apko de chainguard-dev (CVE-2026-42575)

Descripción

Impacto

Referencias a soluciones, herramientas e información