apko heeft een padtraversering in apko dirFS, waardoor bestandssysteem schrijfbewerkingen buiten de basis mogelijk zijn

Deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op het systeem te lezen of te schrijven, afhankelijk van de permissies van de gebruiker die de APK installeert. Dit kan leiden tot data-exfiltratie, code-uitvoering of het compromitteren van de hele container. De kwetsbaarheid ontstaat doordat de MkdirAll, Mkdir en Symlink methoden in pkg/apk/fs/rwosfs.go filepath.Join() gebruiken zonder de resulterende paden te valideren. Een aanvaller kan dit misbruiken door paden te construeren die buiten de beoogde installatieroot vallen, waardoor toegang tot gevoelige systeembestanden mogelijk wordt. Dit is vergelijkbaar met kwetsbaarheden waarbij een aanvaller paden kan manipuleren om toegang te krijgen tot bestanden buiten de toegestane directory.

Organizations and developers using chainguard.dev/apko for building APK images, particularly those relying on external or untrusted repositories for APK packages, are at risk. Shared hosting environments where multiple users share the same apko installation are also particularly vulnerable, as a compromised APK package from one user could potentially impact other users.

• linux / server: Monitor apko process file system activity using lsof or auditd for unexpected writes outside the intended installation directory.

lsof -p $(pgrep apko) | grep '/outside/intended/path/'

• generic web: Inspect APK package metadata for suspicious file paths or directory structures before processing. Use tools like zip -v to examine the contents of the APK. • go: Review the pkg/apk/fs/rwosfs.go file for instances of filepath.Join() without proper path validation. Look for potential bypasses of intended directory boundaries.

1. 2026-02-03Disclosure

   disclosure

1. Gereserveerd2026-01-29
2. Gepubliceerd2026-02-03
3. Gewijzigd2026-02-23
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar versie 1.1.0 of hoger van chainguard.dev/apko. Als een upgrade momenteel niet mogelijk is, overweeg dan om de APK-installatie te isoleren in een container met beperkte permissies. Implementeer input validatie op de APK-repository om te voorkomen dat kwaadaardige pakketten worden geïnstalleerd. Monitor systeembestanden op onverwachte wijzigingen of creaties. Er zijn geen specifieke WAF-regels of configuratiewerkarounds bekend, aangezien de fix in de code zelf zit. Na de upgrade, verifieer de installatie door te proberen een bestand buiten de installatieroot te creëren en te controleren of dit wordt geblokkeerd.