apko possui uma vulnerabilidade de path traversal em apko dirFS que permite escritas no sistema de arquivos fora da base

A exploração bem-sucedida desta vulnerabilidade permite que um atacante escape do ambiente de instalação do APK e potencialmente modifique arquivos ou execute código arbitrário no sistema host. Isso pode levar à exfiltração de dados confidenciais, comprometimento do sistema ou execução de comandos com privilégios elevados. A capacidade de criar links simbólicos fora do diretório de instalação abre portas para ataques mais sofisticados, como a manipulação de arquivos de configuração do sistema ou a substituição de binários críticos. A vulnerabilidade é particularmente preocupante em ambientes de CI/CD onde pacotes APK são construídos e implantados automaticamente, pois um atacante pode comprometer o processo de build injetando um pacote APK malicioso.

Organizations and developers using chainguard.dev/apko for building APK images, particularly those relying on external or untrusted repositories for APK packages, are at risk. Shared hosting environments where multiple users share the same apko installation are also particularly vulnerable, as a compromised APK package from one user could potentially impact other users.

• linux / server: Monitor apko process file system activity using lsof or auditd for unexpected writes outside the intended installation directory.

lsof -p $(pgrep apko) | grep '/outside/intended/path/'

• generic web: Inspect APK package metadata for suspicious file paths or directory structures before processing. Use tools like zip -v to examine the contents of the APK. • go: Review the pkg/apk/fs/rwosfs.go file for instances of filepath.Join() without proper path validation. Look for potential bypasses of intended directory boundaries.

1. 2026-02-03Disclosure

   disclosure

1. Reservado2026-01-29
2. Publicada2026-02-03
3. Modificada2026-02-23
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar para a versão 1.1.0 do chainguard.dev/apko, que inclui a correção. Se a atualização imediata não for possível, implemente uma validação de caminho rigorosa antes de chamar as funções MkdirAll, Mkdir e Symlink. Isso pode ser feito verificando se o caminho resultante está dentro do diretório base esperado. Considere o uso de uma lista de permissão (whitelist) de caminhos permitidos em vez de uma lista de negação (blacklist) para maior segurança. Além disso, revise e reforce as políticas de segurança do seu repositório de pacotes APK para evitar a ingestão de pacotes maliciosos. Após a atualização, confirme a correção verificando se a criação de diretórios ou links simbólicos fora do diretório de instalação é impedida.