chewkeanho/research-cve-2026-85649[MIRROR] La publication de recherche en sécurité CVE-2026-85649.
Le 2026-08-26, une vulnérabilité de sécurité (CVSS : 7.9, High[7]) a été signalée dans
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 et versions antérieures. L'outil supposait
que la commande mkpasswd produit toujours un hash de mot de passe yescrypt valide.
Dans les situations où le mkpasswd installé ne prend pas en charge yescrypt, la
commande échoue et produit une valeur vide. En raison de ce défaut logique, la
valeur vide était transmise sans vérification et se retrouvait comme mot de passe dans
l'image construite. Par conséquent, les comptes utilisateur root et alpha de
l'image en aval permettent une connexion sans mot de passe. Cela signifie que v1.2.0 et
les versions antérieures sont vulnérables à :
Le correctif a été développé et publié sous le nom de
(Holloway) Chew, Kean Ho's Actualizer v1.2.1 le 2026-08-27 avant la divulgation
publique. Les utilisateurs n'ont qu'à utiliser v1.2.1 et versions ultérieures — c'est tout.
Au-delà de cela, ce document de recherche décrit l'intégralité de l'incident de sécurité en
détail à des fins éducatives et de référence uniquement.
Pour sécuriser le contenu contre toute modification non autorisée jusqu'au niveau du bit
(0|1), celui-ci est signé cryptographiquement à l'aide d'un ou de plusieurs outils de
cryptographie tels que, sans s'y limiter :
La clé publique et le certificat associé sont joints. Seul le propriétaire principal conserve et maintient les clés privées. Pour vérifier l'intégrité du contenu :
.asc
portant le même nom de fichier)..gpg).$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign
portant le même nom de fichier)..pem) contenant la clé publique
à l'intérieur.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Veuillez vous référer à AI_DECREES.md pour la politique du projet concernant l'utilisation de l'intelligence artificielle.
Veuillez vous référer à CONTRIBUTING.md pour les directives de contribution et de maintenance.
L'intégralité de ce dépôt est sous licence Creative Commons Attribution-NoDerivatives 4.0 International License. Pour garantir une meilleure compréhension de cette licence, les sous-sections suivantes décriront brièvement comment déployer le contenu.
Pour les organisations à but non lucratif (ONG) enregistrées, vous êtes considéré comme une
Entité commerciale au même titre que toute organisation à but lucratif par défaut. Cependant,
vous serez éligible à la subvention de décaissement pour ONG et bénéficierez de privilèges
d'exception de la part du ou des créateurs.
Sauf indication contraire écrite, vous DEVEZ attribuer le crédit au(x) créateur(s) comme suit :
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
Cela concerne tout client souhaitant posséder une copie du contenu et l'utiliser uniquement sans le partager avec une quelconque entité tierce ; ET SANS aucune intention monétaire telle que, sans s'y limiter :
- Enregistrer une copie locale puis la consulter via son ou ses propres appareils mobiles ; OU
- Enregistrer une copie locale puis la consulter via son propre ordinateur personnel ; OU
- Enregistrer une copie locale à des fins d'entraînement de données d'intelligence artificielle.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant posséder une copie du contenu et l'utiliser uniquement sans le partager avec une quelconque entité tierce ; ET AVEC une intention monétaire telle que, sans s'y limiter :
- Enregistrer une copie locale pour enrichir la liste d'approvisionnement de son entreprise ; OU
- Enregistrer une copie locale à des fins commerciales d'entraînement de données d'intelligence artificielle.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.