chewkeanho/research-cve-2026-85649[MIRROR] La publication de recherche en sécurité CVE-2026-85649.
Le 2026-08-26, une vulnérabilité de sécurité (CVSS : 7.9, High[7]) a été signalée dans
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 et versions antérieures. L'outil supposait
que la commande mkpasswd produit toujours un hash de mot de passe yescrypt valide.
Dans les situations où le mkpasswd installé ne prend pas en charge yescrypt, la
commande échoue et produit une valeur vide. En raison de ce défaut logique, la
valeur vide était transmise sans vérification et se retrouvait comme mot de passe dans
l'image construite. Par conséquent, les comptes utilisateur root et alpha de
l'image en aval permettent une connexion sans mot de passe. Cela signifie que v1.2.0 et
les versions antérieures sont vulnérables à :
Le correctif a été développé et publié sous le nom de
(Holloway) Chew, Kean Ho's Actualizer v1.2.1 le 2026-08-27 avant la divulgation
publique. Les utilisateurs n'ont qu'à utiliser v1.2.1 et versions ultérieures — c'est tout.
Au-delà de cela, ce document de recherche décrit l'intégralité de l'incident de sécurité en
détail à des fins éducatives et de référence uniquement.
Pour sécuriser le contenu contre toute modification non autorisée jusqu'au niveau du bit
(0|1), celui-ci est signé cryptographiquement à l'aide d'un ou de plusieurs outils de
cryptographie tels que, sans s'y limiter :
La clé publique et le certificat associé sont joints. Seul le propriétaire principal conserve et maintient les clés privées. Pour vérifier l'intégrité du contenu :
.asc
portant le même nom de fichier)..gpg).$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign
portant le même nom de fichier)..pem) contenant la clé publique
à l'intérieur.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Veuillez vous référer à AI_DECREES.md pour la politique du projet concernant l'utilisation de l'intelligence artificielle.
Veuillez vous référer à CONTRIBUTING.md pour les directives de contribution et de maintenance.
L'intégralité de ce dépôt est sous licence Creative Commons Attribution-NoDerivatives 4.0 International License. Pour garantir une meilleure compréhension de cette licence, les sous-sections suivantes décriront brièvement comment déployer le contenu.
Pour les organisations à but non lucratif (ONG) enregistrées, vous êtes considéré comme une
Entité commerciale au même titre que toute organisation à but lucratif par défaut. Cependant,
vous serez éligible à la subvention de décaissement pour ONG et bénéficierez de privilèges
d'exception de la part du ou des créateurs.
Sauf indication contraire écrite, vous DEVEZ attribuer le crédit au(x) créateur(s) comme suit :
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
Cela concerne tout client souhaitant posséder une copie du contenu et l'utiliser uniquement sans le partager avec une quelconque entité tierce ; ET SANS aucune intention monétaire telle que, sans s'y limiter :
- Enregistrer une copie locale puis la consulter via son ou ses propres appareils mobiles ; OU
- Enregistrer une copie locale puis la consulter via son propre ordinateur personnel ; OU
- Enregistrer une copie locale à des fins d'entraînement de données d'intelligence artificielle.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant posséder une copie du contenu et l'utiliser uniquement sans le partager avec une quelconque entité tierce ; ET AVEC une intention monétaire telle que, sans s'y limiter :
- Enregistrer une copie locale pour enrichir la liste d'approvisionnement de son entreprise ; OU
- Enregistrer une copie locale à des fins commerciales d'entraînement de données d'intelligence artificielle.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant référencer ou fournir un guide pour sourcer le contenu original auprès d'une quelconque entité tierce sans afficher directement aucune partie du contenu original ; SANS aucune intention monétaire telle que, sans s'y limiter :
- Recherche académique et rédaction d'articles ; OU
- Création de nouveau contenu lié au contenu original SANS afficher aucune partie du contenu original pour sa propre plateforme de diffusion ; OU
- Production et collecte de contenu lié au contenu original SANS afficher aucune partie du contenu original ; OU
- Projet de portfolio web lié au contenu original SANS afficher aucune partie du contenu original ; OU
- Supports d'événements liés au contenu original SANS afficher aucune partie du contenu original ; OU
- Supports de réunion liés au contenu original SANS afficher aucune partie du contenu original ; OU
- Contenus publicitaires liés au contenu original SANS afficher aucune partie du contenu original.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant afficher directement des parties et NON TOUT du contenu original tel quel OU sans remix ou modifications de composition conservant l'intention, la direction artistique et les messages d'origine dans sa création de contenu ; SANS aucune intention monétaire telle que, sans s'y limiter :
- Création de nouveau contenu avec affichage de partie(s) du contenu original pour sa propre plateforme de diffusion sans aucun gain monétaire ; OU
- Production et collecte de contenu avec affichage de partie(s) du contenu original sans aucun gain monétaire ; OU
- Projet de portfolio web avec affichage de partie(s) du contenu original sans aucun gain monétaire ; OU
- Supports d'événements avec affichage de partie(s) du contenu original sans aucun gain monétaire ; OU
- Supports de réunion avec affichage de partie(s) du contenu original sans aucun gain monétaire.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant afficher directement des parties et NON TOUT du contenu original tel quel OU sans remix ou modifications de composition conservant l'intention, la direction artistique et les messages d'origine dans sa création de contenu ; AVEC une intention monétaire telle que, sans s'y limiter :
- Création de nouveau contenu avec affichage de partie(s) du contenu original pour sa propre plateforme de diffusion ; OU
- Production et collecte de contenu avec affichage de partie(s) du contenu original ; OU
- Projet de portfolio web avec affichage de partie(s) du contenu original ; OU
- Supports d'événements avec affichage de partie(s) du contenu original ; OU
- Supports de réunion avec affichage de partie(s) du contenu original ; OU
- Supports publicitaires avec affichage de partie(s) du contenu original.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant posséder puis modifier le contenu original de manière extensive en conservant ou en altérant l'intention, la direction artistique ou le message d'origine pour composer sa nouvelle création de contenu ; SANS aucune intention monétaire telle que, sans s'y limiter :
- Création de nouveau contenu avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion SANS aucun profit y compris les commissions publicitaires ; OU
- Production et collecte personnelles de contenu avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion SANS aucun profit y compris les commissions publicitaires ; OU
- Projet de portfolio web personnel avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion SANS aucun profit y compris les commissions publicitaires ; OU
- Création de contenu mème sur les réseaux sociaux avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion SANS aucun profit y compris les commissions publicitaires.
Vous n'êtes PAS AUTORISÉ en raison de la restriction de la licence.
[!NOTE]
Cela concerne tout client souhaitant posséder puis modifier le contenu original de manière extensive en conservant ou en altérant l'intention, la direction artistique ou le message d'origine pour composer sa nouvelle création de contenu ; AVEC une intention monétaire telle que, sans s'y limiter :
- Création de nouveau contenu avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion ; OU
- Production et collecte personnelles de contenu avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion ; OU
- Projet de portfolio web personnel avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion ; OU
- Création de contenu mème sur les réseaux sociaux avec intégration de contenu original modifié et traité numériquement pour sa propre plateforme de diffusion.
Vous n'êtes PAS AUTORISÉ en raison de la restriction de la licence.
[!NOTE]
Cela concerne tout client souhaitant partager, diffuser, redistribuer, vendre ou revendre le contenu original, modifié OU dérivé SANS aucune intention monétaire telle que, sans s'y limiter :
- Partage avec des membres de la famille ; OU
- Diffusion du contenu via toute plateforme de streaming avec accès privé aux spectateurs ; OU
- Affichage du contenu dans sa galerie avec des invités privés ; OU
- Affichage du contenu dans des espaces ouverts privés et gratuits comme un salon ; OU
- Possession d'une copie du contenu original et sa mise à disposition en tant que contenu téléchargeable sur un site web dans un réseau privé (par ex. réseau domestique auto-hébergé) ; OU
- Partage du contenu original sur les réseaux sociaux ou les applications de messagerie comme le courrier électronique ou la messagerie instantanée.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.
[!NOTE]
Cela concerne tout client souhaitant partager, diffuser, redistribuer, vendre ou revendre le contenu original, modifié OU dérivé AVEC une intention monétaire telle que, sans s'y limiter :
- Diffusion du contenu via toute plateforme de streaming avec accès public ou privé aux spectateurs ; OU
- Affichage du contenu lors d'événements publics de toute entreprise avec invitations gratuites ou payantes ; OU
- Affichage du contenu lors d'événements internes/privés de toute entreprise avec invitations gratuites ou payantes ; OU
- Possession d'une copie du contenu original et sa mise à disposition en tant que contenu téléchargeable gratuit OU payant sur son site web dans tout réseau (Internet, Intranet, ou réseaux privés) ; OU
- Partage du contenu original sur les réseaux sociaux ou les applications de messagerie comme le courrier électronique ou la messagerie instantanée ; OU
- Distribution du contenu original via plusieurs plateformes de diffusion générant des profits.
Vous êtes AUTORISÉ à condition de RESPECTER STRICTEMENT l'attribution de la licence.