PT-2026-37053 · Apko · Apko

1Seal · Publicado 2026-05-04 · Atualizado 2026-05-10 · CVE-2026-42576

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas apko versões anteriores a 1.2.7

Descrição A função DiscoverKeys() em pkg/apk/apk/implementation.go realiza uma asserção de tipo incondicional de chaves JWKS (JSON Web Key Set) como *rsa.PublicKey sem verificar o tipo da chave. Se um endpoint JWKS de repositório retornar uma chave que não seja RSA, como uma chave de Curva Elíptica (EC), a asserção não verificada causa um pânico e trava a aplicação. Isso afeta qualquer fluxo de trabalho que inicialize o banco de dados APK e busque chaves de repositório.

Recomendações Atualize para a versão 1.2.7.

Correção

DoS

Incorrect Type Conversion or Cast

Enumeração de Fraquezas

CWE-704

Identificadores relacionados

CVE-2026-42576

GHSA-M7HM-VM4X-28JF

Produtos afetados

Apko

Referências · 10

• https://github.com/chainguard-dev/apko/releases/tag/v1.2.7 · Nota
• https://github.com/chainguard-dev/apko/commit/6604826b19e36e9bc6e196592800fad93738f4a1 · Nota
• https://github.com/chainguard-dev/apko/security/advisories/GHSA-m7hm-vm4x-28jf · Nota
• https://github.com/chainguard-dev/apko · Nota
• https://t.me/CVEtracker/53238 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2053559124256817342 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2053231792748986476 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1t4h1c4/resumen_diario_de_vulnerabilidades_05052026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-42576 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-m7hm-vm4x-28jf · Aviso do Fabricante