CVE-2026-42574

إصدارات apko من 0.14.8 إلى 1.2.4

يمكن لملف .apk مُعدّ خصيصًا تثبيت إدخال tar من نوع TypeSymlink بحيث يشير الهدف إلى موقع خارج جذر البناء. ويمكن لعمليات إنشاء الدلائل أو كتابة الملفات اللاحقة في نفس الأرشيف أو في أرشيف لاحق أن تتجاوز هذا الرابط الرمزي للوصول إلى مسارات المضيف التي يمتلك مستخدم البناء إذنًا للكتابة فيها. تنشأ المشكلة من الأداة المساعدة sanitizePath الموجودة في pkg/apk/fs/rwosfs.go، والتي ترفض فقط التجاوز اللغوي لـ .. وتفشل في حل أو رفض الروابط الرمزية. يؤثر هذا على أساليب DirFS المدعومة بالقرص التي تمرر المسارات التي يوفرها المستدعي إلى استدعاءات المكتبة القياسية التي تتبع الروابط الرمزية، بما في ذلك ReadFile() وWriteFile() وChmod() وChown() وChtimes() وMkdirAll() وMkdir() وMknod(). العنصر الأساسي الذي يمكن الوصول إليه أثناء استخراج ملفات tar هو سلسلة MkdirAll() / Mkdir() / WriteFile() عبر apko build-cpio والمستهلكين المدعومين بالقرص مثل melange.

التحديث إلى الإصدار 1.2.5.