CVE-2026-85649 | (Holloway) Chew, Kean Ho's Knowledge Research

في 2026-08-26، تم الإبلاغ عن ثغرة أمنية (CVSS: 7.9, High[7]) في (Holloway) Chew, Kean Ho's Actualizer v1.2.0 والإصدارات الأقدم. افترضت الأداة أن أمر mkpasswd ينتج دائمًا تجزئة كلمة مرور yescrypt صالحة. في الحالات التي يفتقر فيها mkpasswd المثبت إلى دعم yescrypt، يفشل الأمر بدلاً من ذلك وينتج قيمة فارغة. بسبب هذا الخلل المنطقي، تم تمرير القيمة الفارغة دون فحص وانتهى بها الأمر ككلمة مرور في الصورة المبنية. ونتيجة لذلك، تسمح كل من حسابي المستخدم الجذر (root) و alpha في الصورة الناتجة بتسجيل الدخول بدون كلمة مرور. هذا يعني أن v1.2.0 والإصدارات الأقدم معرضة لما يلي:

• CWE-636: "عدم الفشل بأمان (الفشل المفتوح)" — العيب الأساسي[2]؛ و
• CWE-252: "قيمة الإرجاع غير المفحوصة" — العيب الثانوي[3].

تم تطوير العلاج ونشره كإصدار (Holloway) Chew, Kean Ho's Actualizer v1.2.1 في 2026-08-27 قبل الإفصاح العام. يحتاج المستخدمون فقط إلى استخدام v1.2.1 والإصدارات الأحدث — وهذا كل شيء. بعد ذلك، توثق هذه الورقة البحثية الحادثة الأمنية بأكملها بالتفصيل لأغراض تعليمية ومرجعية فقط.

التحقق من سلامة المحتوى

لتأمين المحتوى من التعديل غير المصرح به من قبل أي شخص وصولاً إلى مستوى البت (0|1)، يتم توقيعه تشفيريًا باستخدام أداة أو أكثر من أدوات التشفير مثل على سبيل المثال لا الحصر:

• GnuPG؛ و/أو
• OpenSSL.

المفتاح العام والشهادة المرتبطة به مرفقان. المالك الرئيسي فقط هو من يحتفظ بالمفاتيح الخاصة ويديرها. للتحقق من سلامة المحتوى:

GnuPG

1. قم بتثبيت برنامج GnuPG إذا لم يكن مثبتًا.
2. قم بتنزيل الملف المستهدف وملف التوقيع المنفصل الخاص به (ملف .asc الذي يحمل نفس اسم الملف).
3. قم بتنزيل ملف المفتاح العام (.gpg).
4. ضعها بجانب بعضها البعض في الدليل.
5. افتح طرفية (Terminal) ونفّذ الأمر التالي:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. قم بتثبيت برنامج OpenSSL إذا لم يكن مثبتًا.
2. قم بتنزيل الملف المستهدف وملف التوقيع المنفصل الخاص به (ملف .sig/.sign الذي يحمل نفس اسم الملف).
3. قم بتنزيل ملف الشهادة العامة (.pem) الذي يحتوي على المفتاح العام بداخله.
4. ضعها بجانب بعضها البعض في الدليل.
5. افتح طرفية (Terminal) ونفّذ الأمر التالي:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

مراسيم الذكاء الاصطناعي (A.I.)

يُرجى الرجوع إلى AI_DECREES.md لمعرفة سياسة المشروع بشأن استخدام الذكاء الاصطناعي.

ملاحظات المشرفين

يُرجى الرجوع إلى CONTRIBUTING.md للحصول على إرشادات المساهمة والصيانة.

الترخيص

• ترخيص GIMP المتفق عليه
• سياسة خصوصية GIMP المتفق عليها
• ترخيص Inkscape المتفق عليه
• سياسة خصوصية Inkscape المتفق عليها
• ترخيص LibreOffice المتفق عليه
• سياسة خصوصية LibreOffice المتفق عليها

هذا المستودع بأكمله مرخص بموجب رخصة المشاع الإبداعي نسب المصنف - منع الاشتقاق 4.0 الدولية. لضمان فهم أفضل لهذا الترخيص، ستشرح الأقسام الفرعية التالية باختصار كيفية نشر المحتوى.

بالنسبة للمنظمات غير الربحية المسجلة (NGO)، تُعتبر كيانًا تجاريًا تمامًا مثل أي منظمة هادفة للربح افتراضيًا. ومع ذلك، ستكون مؤهلاً للحصول على منحة صرف NGO وستحصل على امتيازات استثنائية من المبدع(ين).

النسبة (Attribution)

ما لم يُنص على خلاف ذلك كتابيًا، يجب عليك أن تنسب العمل إلى المبدع(ين) على النحو التالي:

Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659

الملكية - شخصي

[!NOTE]

يستهدف هذا أي عميل يرغب في امتلاك نسخة من المحتوى ثم استخدامها هو/هي فقط دون مشاركتها مع أي طرف ثالث؛ وبدون أي نية مالية مثل على سبيل المثال لا الحصر:

• حفظ نسخة محلية ثم عرضها عبر جهاز (أجهزة) الهاتف المحمول الخاص به/بها؛ أو
• حفظ نسخة محلية ثم عرضها عبر جهاز الكمبيوتر الشخصي الخاص به/بها؛ أو
• حفظ نسخة محلية لأغراض تدريب بيانات الذكاء الاصطناعي.

أنت مسموح لك بشرط أن تلتزم التزامًا صارمًا بنسبة المصنف في الترخيص.

الملكية - تجاري

[!NOTE]

يستهدف هذا أي عميل يرغب في امتلاك نسخة من المحتوى ثم استخدامها هو/هي فقط دون مشاركتها مع أي طرف ثالث؛ ومع أي نية مالية مثل على سبيل المثال لا الحصر:

• حفظ نسخة محلية لتعزيز قائمة المشتريات الخاصة بشركته/شركتها؛ أو
• حفظ نسخة محلية لأغراض تدريب بيانات الذكاء الاصطناعي التجارية.

أنت مسموح لك بشرط أن تلتزم التزامًا صارمًا بنسبة المصنف في الترخيص.

المرجع - شخصي وتجاري

[!NOTE]

يستهدف هذا أي عميل يرغب في الإشارة إلى المحتوى الأصلي أو تقديم دليل للحصول عليه لأي طرف ثالث دون عرض أي جزء من المحتوى الأصلي مباشرة؛ بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• البحث الأكاديمي وكتابة الأوراق البحثية؛ أو
• إنشاء محتوى جديد يرتبط بالمحتوى الأصلي دون عرض أي من المحتوى الأصلي لمنصة البث الخاصة به/بها؛ أو
• إنتاج وجمع محتوى يرتبط بالمحتوى الأصلي دون عرض أي من المحتوى الأصلي؛ أو
• مشروع محفظة ويب يرتبط بالمحتوى الأصلي دون عرض أي من المحتوى الأصلي؛ أو
• مواد فعاليات ترتبط بالمحتوى الأصلي دون عرض أي من المحتوى الأصلي؛ أو
• مواد اجتماعات ترتبط بالمحتوى الأصلي دون عرض أي من المحتوى الأصلي؛ أو
• محتويات إعلانية ترتبط بالمحتوى الأصلي دون عرض أي من المحتوى الأصلي.

أنت مسموح لك بشرط أن تلتزم التزامًا صارمًا بنسبة المصنف في الترخيص.

الدمج - شخصي

[!NOTE]

يستهدف هذا أي عميل يرغب في عرض أجزاء وليس كل المحتوى الأصلي كما هو أو دون أي مزج أو تعديلات إعادة تركيب تحافظ على النية الأصلية والتوجيه الفني والرسائل في إنشاء المحتوى الخاص به/بها؛ بدون أي نية مالية مثل على سبيل المثال لا الحصر:

• إنشاء محتوى جديد مع عرض جزء (أجزاء) من المحتوى الأصلي لمنصة البث الخاصة به/بها دون أي كسب مالي؛ أو
• إنتاج وجمع محتوى مع عرض جزء (أجزاء) من المحتوى الأصلي دون أي كسب مالي؛ أو
• مشروع محفظة ويب مع عرض جزء (أجزاء) من المحتوى الأصلي دون أي كسب مالي؛ أو
• مواد فعاليات مع عرض جزء (أجزاء) من المحتوى الأصلي دون أي كسب مالي؛ أو
• مواد اجتماعات مع عرض جزء (أجزاء) من المحتوى الأصلي دون أي كسب مالي.