CVE-2026-85649 | (Holloway) Chew, Kean Ho's Knowledge Research

Am 2026-08-26 wurde eine Sicherheitslücke (CVSS: 7.9, Hoch[7]) in (Holloway) Chew, Kean Ho's Actualizer v1.2.0 und darunter gemeldet. Das Tool ging davon aus, dass der Befehl mkpasswd immer einen gültigen yescrypt-Passwort-Hash erzeugt. In Situationen, in denen das installierte mkpasswd keine yescrypt-Unterstützung besitzt, schlägt der Befehl stattdessen fehl und liefert einen leeren Wert. Aufgrund dieses Logikfehlers wurde der leere Wert ungeprüft durchgereicht und landete als Passwort im erstellten Image. Infolgedessen erlauben sowohl das Root- als auch das Alpha-Benutzerkonto des nachgelagerten Images eine Passwort-lose Anmeldung. Das bedeutet, dass v1.2.0 und darunter anfällig sind für:

• CWE-636: „Not Failing Securely (Failing Open)" — primärer Defekt[2]; UND
• CWE-252: „Unchecked Return Value" — sekundärer Defekt[3].

Das Gegenmittel wurde entwickelt und veröffentlicht als (Holloway) Chew, Kean Ho's Actualizer v1.2.1 am 2026-08-27 vor der öffentlichen Offenlegung. Benutzer müssen lediglich v1.2.1 und höher verwenden — das ist alles. Darüber hinaus dokumentiert dieses Forschungspapier den gesamten Sicherheitsvorfall im Detail ausschließlich für Bildungs- und Referenzzwecke.

Überprüfung der Inhaltsintegrität

Um den Inhalt vor unbefugter Veränderung bis auf Bitebene (0|1) zu schützen, wird er kryptografisch mit einem oder mehreren Kryptografie-Werkzeugen signiert, wie zum Beispiel, aber nicht beschränkt auf:

• GnuPG; UND/ODER
• OpenSSL.

Der öffentliche Schlüssel und das zugehörige Zertifikat sind beigefügt. Nur der Hauptinhaber verwahrt und pflegt die privaten Schlüssel. So überprüfen Sie die Integrität des Inhalts:

GnuPG

1. Installieren Sie die GnuPG-Software, falls nicht vorhanden.
2. Laden Sie die Zieldatei und ihre separate Signaturdatei herunter (die .asc-Datei mit demselben Dateinamen).
3. Laden Sie die Datei mit dem öffentlichen Schlüssel herunter (.gpg).
4. Platzieren Sie sie nebeneinander im Verzeichnis.
5. Öffnen Sie ein Terminal und führen Sie den folgenden Befehl aus:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. Installieren Sie die OpenSSL-Software, falls nicht vorhanden.
2. Laden Sie die Zieldatei und ihre separate Signaturdatei herunter (die .sig/.sign-Datei mit demselben Dateinamen).
3. Laden Sie die Datei mit dem öffentlichen Zertifikat herunter (.pem), die den öffentlichen Schlüssel enthält.
4. Platzieren Sie sie nebeneinander im Verzeichnis.
5. Öffnen Sie ein Terminal und führen Sie den folgenden Befehl aus:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

Künstliche Intelligenz (K.I.)-Dekrete

Bitte lesen Sie AI_DECREES.md für die Richtlinie des Projekts zur Nutzung von Künstlicher Intelligenz.

Hinweise der Betreuer

Bitte lesen Sie CONTRIBUTING.md für Richtlinien zu Beiträgen & Wartung.

Lizenz

• Vereinbarte GIMP-Lizenz
• Vereinbarte GIMP-Datenschutzrichtlinie
• Vereinbarte Inkscape-Lizenz
• Vereinbarte Inkscape-Datenschutzrichtlinie
• Vereinbarte LibreOffice-Lizenz
• Vereinbarte LibreOffice-Datenschutzrichtlinie

Dieses gesamte Repository ist lizenziert unter der Creative Commons Attribution-NoDerivatives 4.0 International License. Um ein besseres Verständnis dieser Lizenz zu gewährleisten, beschreiben die folgenden Unterabschnitte kurz, wie der Inhalt eingesetzt werden kann.

Für registrierte gemeinnützige Organisationen (NGO) gelten Sie standardmäßig als kommerzielle Einrichtung genauso wie jede gewinnorientierte Organisation. Sie sind jedoch für den NGO-Auszahlungszuschuss berechtigt und erhalten Ausnahmerechte vom/von den Urheber(n).

Namensnennung

Sofern nicht schriftlich anders angegeben, MÜSSEN Sie den/die Urheber wie folgt nennen:

Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659

Eigentum - Privat

[!NOTE]

Dies richtet sich an jeden Kunden, der eine Kopie des Inhalts besitzen möchte und sie dann nur selbst nutzt, ohne sie mit Dritten zu teilen; UND OHNE jegliche monetäre Absicht, wie zum Beispiel, aber nicht beschränkt auf:

• Speichern einer lokalen Kopie und anschließendes Ansehen auf dem/den eigenen Mobilgerät(en); ODER
• Speichern einer lokalen Kopie und anschließendes Ansehen auf dem eigenen persönlichen Computer; ODER
• Speichern einer lokalen Kopie für Zwecke des Trainings künstlicher Intelligenz.

Sie sind BERECHTIGT, sofern Sie die Lizenz-Namensnennung STRENG EINHALTEN.

Eigentum - Kommerziell

[!NOTE]

Dies richtet sich an jeden Kunden, der eine Kopie des Inhalts besitzen möchte und sie dann nur selbst nutzt, ohne sie mit Dritten zu teilen; UND MIT jeglicher monetärer Absicht, wie zum Beispiel, aber nicht beschränkt auf:

• Speichern einer lokalen Kopie zur Verbesserung der Beschaffungsliste seines/ihres Unternehmens; ODER
• Speichern einer lokalen Kopie für kommerzielle Zwecke des Trainings künstlicher Intelligenz.

Sie sind BERECHTIGT, sofern Sie die Lizenz-Namensnennung STRENG EINHALTEN.

Referenz - Privat & Kommerziell