apko tiene un path traversal en apko dirFS que permite escrituras en el sistema de archivos fuera de la base

La vulnerabilidad de Path Traversal en apko permite a un atacante, a través de un paquete APK malicioso (posiblemente proveniente de un repositorio comprometido o con errores tipográficos), manipular el sistema de archivos. Esto podría resultar en la creación de directorios o enlaces simbólicos fuera del directorio de instalación esperado. Un atacante podría, por ejemplo, sobrescribir archivos de configuración críticos del sistema o incluso ejecutar código arbitrario si el sistema permite la ejecución de archivos APK en ubicaciones inesperadas. El impacto potencial es significativo, pudiendo comprometer la integridad y confidencialidad del sistema.

Organizations and developers using chainguard.dev/apko for building APK images, particularly those relying on external or untrusted repositories for APK packages, are at risk. Shared hosting environments where multiple users share the same apko installation are also particularly vulnerable, as a compromised APK package from one user could potentially impact other users.

• linux / server: Monitor apko process file system activity using lsof or auditd for unexpected writes outside the intended installation directory.

lsof -p $(pgrep apko) | grep '/outside/intended/path/'

• generic web: Inspect APK package metadata for suspicious file paths or directory structures before processing. Use tools like zip -v to examine the contents of the APK. • go: Review the pkg/apk/fs/rwosfs.go file for instances of filepath.Join() without proper path validation. Look for potential bypasses of intended directory boundaries.

1. 2026-02-03Disclosure

   disclosure

1. Reservado2026-01-29
2. Publicada2026-02-03
3. Modificada2026-02-23
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar a la versión 1.1.0 de chainguard.dev/apko, que incluye la corrección del commit d8b7887. Si la actualización no es inmediatamente posible, se recomienda revisar cuidadosamente las fuentes de los paquetes APK utilizados y evitar la instalación de paquetes de fuentes no confiables. Implementar controles de acceso estrictos al directorio de instalación de APKs también puede ayudar a limitar el impacto de una posible explotación. No existen reglas WAF o firmas Sigma/YARA específicas disponibles en este momento, pero se recomienda monitorear la actividad del sistema de archivos en busca de patrones sospechosos.