Vulnerabilidad en apko de chainguard-dev (CVE-2026-42576)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-704 Conversión de tipos errónea

Fecha de publicación:

09/05/2026

Última modificación:

24/07/2026

Descripción

apko permite a los usuarios construir y publicar imágenes de contenedor OCI construidas a partir de paquetes apk. Antes de la versión 1.2.7, DiscoverKeys en pkg/apk/apk/implementation.go afirma el tipo de las claves JWKS incondicionalmente como rsa.PublicKey sin verificar el tipo de clave. Si un endpoint JWKS de repositorio devuelve una clave que no es RSA (p. ej., EC), la aserción no verificada entra en pánico y bloquea apko. Esto afecta a cualquier flujo de trabajo que inicializa la base de datos APK y obtiene las claves del repositorio. Este problema ha sido parcheado en la versión 1.2.7.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vulnerabilidad en apko de chainguard-dev (CVE-2026-42576)

Descripción

Impacto

Referencias a soluciones, herramientas e información