chewkeanho/research-cve-2026-85649[MIRROR] La publicación de investigación de seguridad CVE-2026-85649.
El 2026-08-26, se reportó una vulnerabilidad de seguridad (CVSS: 7.9, Alta[7]) en
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 y versiones anteriores. La herramienta asumía
que el comando mkpasswd siempre produce un hash de contraseña yescrypt válido.
En situaciones donde el mkpasswd instalado carece de soporte para yescrypt, el
comando falla y produce un valor vacío. Debido a este defecto lógico, el
valor vacío se pasaba sin verificación y terminaba como la contraseña en la
imagen construida. Como resultado, tanto la cuenta de usuario root como la de alpha de la
imagen resultante permiten el inicio de sesión sin contraseña. Esto significa que v1.2.0 y versiones anteriores
son vulnerables a:
La solución fue desarrollada y publicada como
(Holloway) Chew, Kean Ho's Actualizer v1.2.1 el 2026-08-27 antes de la divulgación
pública. Los usuarios solo necesitan usar v1.2.1 y versiones superiores — eso es todo.
Más allá de eso, este documento de investigación documenta todo el incidente de seguridad en
detalle únicamente con fines educativos y de referencia.
Para proteger el contenido de modificaciones no autorizadas por cualquier persona hasta el nivel de bit
(0|1), este está firmado criptográficamente utilizando una o más herramientas de criptografía
tales como, pero no limitadas a:
La clave pública y el certificado asociado están adjuntos. Solo el propietario principal conserva y mantiene las claves privadas. Para verificar la integridad del contenido:
.asc
con el mismo nombre de archivo)..gpg).$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign
con el mismo nombre de archivo)..pem) que contiene la clave pública
en su interior.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Consulte AI_DECREES.md para conocer la política del proyecto sobre el uso de la Inteligencia Artificial.
Consulte CONTRIBUTING.md para conocer las pautas de contribución y mantenimiento.
Todo este repositorio está licenciado bajo la Licencia Internacional Creative Commons Atribución-SinDerivadas 4.0. Para garantizar una mejor comprensión de esta licencia, las siguientes subsecciones describirán brevemente cómo implementar el contenido.
Para organizaciones sin fines de lucro (ONG) registradas, se le considera una
Entidad Comercial igual que cualquier organización con fines de lucro por defecto. Sin embargo,
será elegible para la subvención de desembolso para ONG y recibirá privilegios de
excepción por parte del/los creador(es).
Salvo que se indique lo contrario por escrito, DEBE atribuir el crédito al/los creador(es) de la siguiente manera:
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
Esto se dirige a cualquier cliente que desee poseer una copia del contenido y luego solo él/ella lo utilice sin compartirlo con ninguna entidad de terceros; Y SIN ninguna intención monetaria, tal como, pero no limitado a:
- Guardar una copia local y luego visualizarla a través de su(s) propio(s) dispositivo(s) móvil(es); O
- Guardar una copia local y luego visualizarla a través de su propia computadora personal; O
- Guardar una copia local para fines de entrenamiento de datos de inteligencia artificial.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee poseer una copia del contenido y luego solo él/ella lo utilice sin compartirlo con ninguna entidad de terceros; Y CON cualquier intención monetaria, tal como, pero no limitado a:
- Guardar una copia local para mejorar la lista de adquisiciones de su empresa; O
- Guardar una copia local para fines de entrenamiento de datos de inteligencia artificial comercial.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee referir o proporcionar una guía para localizar el contenido original a cualquier entidad de terceros sin mostrar directamente ninguna parte del contenido original; SIN ninguna intención monetaria, tal como, pero no limitado a:
- Investigación académica y redacción de artículos; O
- Creación de nuevo contenido que enlace al contenido original SIN mostrar ninguna parte del contenido original para su propia plataforma de streaming; O
- Producción y recopilación de contenido que enlace al contenido original SIN mostrar ninguna parte del contenido original; O
- Proyecto de portafolio web que enlace al contenido original SIN mostrar ninguna parte del contenido original; O
- Materiales de eventos que enlacen al contenido original SIN mostrar ninguna parte del contenido original; O
- Materiales de reuniones que enlacen al contenido original SIN mostrar ninguna parte del contenido original; O
- Contenidos publicitarios que enlacen al contenido original SIN mostrar ninguna parte del contenido original.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee mostrar directamente partes y NO TODO del contenido original tal como está O sin remezclas o modificaciones que conserven la intención original, la dirección artística y los mensajes en su creación de contenido; SIN ninguna intención monetaria, tal como, pero no limitado a:
- Creación de nuevo contenido mostrando parte(s) del contenido original para su propia plataforma de streaming sin ningún beneficio monetario; O
- Producción y recopilación de contenido mostrando parte(s) del contenido original sin ningún beneficio monetario; O
- Proyecto de portafolio web mostrando parte(s) del contenido original sin ningún beneficio monetario; O
- Materiales de eventos mostrando parte(s) del contenido original sin ningún beneficio monetario; O
- Materiales de reuniones mostrando parte(s) del contenido original sin ningún beneficio monetario.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee mostrar directamente partes y NO TODO del contenido original tal como está O sin remezclas o modificaciones que conserven la intención original, la dirección artística y los mensajes en su creación de contenido; CON cualquier intención monetaria, tal como, pero no limitado a:
- Creación de nuevo contenido mostrando parte(s) del contenido original para su propia plataforma de streaming; O
- Producción y recopilación de contenido mostrando parte(s) del contenido original; O
- Proyecto de portafolio web mostrando parte(s) del contenido original; O
- Materiales de eventos mostrando parte(s) del contenido original; O
- Materiales de reuniones mostrando parte(s) del contenido original; O
- Materiales publicitarios mostrando parte(s) del contenido original.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee poseer y luego modificar extensamente el contenido original conservando o alterando la intención original, la dirección artística, o el mensaje para componer su nueva creación de contenido; SIN ninguna intención monetaria, tal como, pero no limitado a:
- Creación de nuevo contenido con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming SIN ningún beneficio incluyendo comisiones publicitarias; O
- Producción y recopilación de contenido personal con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming SIN ningún beneficio incluyendo comisiones publicitarias; O
- Proyecto de portafolio web personal con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming SIN ningún beneficio incluyendo comisiones publicitarias; O
- Creación de contenido meme para redes sociales con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming SIN ningún beneficio incluyendo comisiones publicitarias.
NO se le PERMITE debido a la restricción de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee poseer y luego modificar extensamente el contenido original conservando o alterando la intención original, la dirección artística, o el mensaje para componer su nueva creación de contenido; CON cualquier intención monetaria, tal como, pero no limitado a:
- Creación de nuevo contenido con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming; O
- Producción y recopilación de contenido personal con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming; O
- Proyecto de portafolio web personal con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming; O
- Creación de contenido meme para redes sociales con integración del contenido original modificado y procesado digitalmente para su propia plataforma de streaming.
NO se le PERMITE debido a la restricción de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee compartir, transmitir, redistribuir, vender o revender el contenido original, modificado O derivado SIN ninguna intención monetaria, tal como, pero no limitado a:
- Compartir con miembros de la familia; O
- Transmitir el contenido a través de cualquier plataforma de streaming con acceso de espectadores privados; O
- Mostrar el contenido en su galería con invitados invitados privadamente; O
- Mostrar el contenido en espacios abiertos privados de entrada gratuita como la sala de estar; O
- Poseer una copia del contenido original y servirlo como contenido descargable en un sitio web en una red privada (por ejemplo, red doméstica autoalojada); O
- Compartir el contenido original a través de redes sociales o aplicaciones de mensajería como correo electrónico o mensajería instantánea.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.
[!NOTE]
Esto se dirige a cualquier cliente que desee compartir, transmitir, redistribuir, vender o revender el contenido original, modificado O derivado CON cualquier intención monetaria, tal como, pero no limitado a:
- Transmitir el contenido a través de cualquier plataforma de streaming con acceso de espectadores público o privado; O
- Mostrar el contenido en eventos públicos de cualquier empresa con invitaciones de invitados gratuitas o de pago; O
- Mostrar el contenido en eventos internos/privados de cualquier empresa con invitaciones de invitados gratuitas o de pago; O
- Poseer una copia del contenido original y servirlo como contenido descargable gratuito O de pago en su sitio web en cualquier red (Internet, Intranet, o redes privadas); O
- Compartir el contenido original a través de redes sociales o aplicaciones de mensajería como correo electrónico o mensajería instantánea; O
- Distribuir el contenido original a través de múltiples plataformas de streaming que generan beneficios.
Se le PERMITE siempre que CUMPLA ESTRICTAMENTE con la atribución de la licencia.