CVE-2026-85649 | Ricerca sulla Conoscenza di (Holloway) Chew, Kean Ho

Il 2026-08-26, è stata segnalata una vulnerabilità di sicurezza (CVSS: 7.9, Alta[7]) in (Holloway) Chew, Kean Ho's Actualizer v1.2.0 e versioni precedenti. Lo strumento presumeva che il comando mkpasswd producesse sempre un hash della password yescrypt valido. In situazioni in cui il mkpasswd installato non supporta yescrypt, il comando fallisce e restituisce un valore vuoto. A causa di questo difetto logico, il valore vuoto veniva trasmesso senza controllo e finiva come password nell'immagine creata. Di conseguenza, sia l'account utente root che quello alpha dell'immagine a valle consentono l'accesso senza password. Ciò significa che v1.2.0 e versioni precedenti sono vulnerabili a:

• CWE-636: "Non fallire in modo sicuro (Fail Open)" — difetto primario[2]; E
• CWE-252: "Valore di ritorno non controllato" — difetto secondario[3].

La soluzione è stata sviluppata e pubblicata come (Holloway) Chew, Kean Ho's Actualizer v1.2.1 il 2026-08-27 prima della divulgazione pubblica. Gli utenti devono solo utilizzare v1.2.1 e versioni successive — tutto qui. Oltre a ciò, questo documento di ricerca descrive l'intero incidente di sicurezza in dettaglio solo a scopo educativo e di riferimento.

Verifica dell'Integrità dei Contenuti

Per proteggere i contenuti da modifiche non autorizzate da parte di chiunque fino al livello di bit (0|1), questi sono firmati crittograficamente utilizzando uno o più strumenti di crittografia come, a titolo esemplificativo ma non esaustivo:

• GnuPG; E/OPPURE
• OpenSSL.

La chiave pubblica e il relativo certificato sono allegati. Solo il proprietario principale conserva e gestisce le chiavi private. Per verificare l'integrità dei contenuti:

GnuPG

1. Installare il software GnuPG se non presente.
2. Scaricare il file di destinazione e il relativo file di firma distaccata (il file .asc con lo stesso nome file).
3. Scaricare il file della chiave pubblica (.gpg).
4. Posizionarli uno accanto all'altro nella directory.
5. Aprire un terminale ed eseguire il seguente comando:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

1. Installare il software OpenSSL se non presente.
2. Scaricare il file di destinazione e il relativo file di firma distaccata (il file .sig/.sign con lo stesso nome file).
3. Scaricare il file del certificato pubblico (.pem) contenente la chiave pubblica al suo interno.
4. Posizionarli uno accanto all'altro nella directory.
5. Aprire un terminale ed eseguire il seguente comando:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

Decreti sull'Intelligenza Artificiale (I.A.)

Fare riferimento a AI_DECREES.md per la politica del progetto sull'uso dell'Intelligenza Artificiale.

Note dei Manutentori

Fare riferimento a CONTRIBUTING.md per le linee guida su contributi e manutenzione.

Licenza

• Licenza GIMP Concordata
• Informativa sulla Privacy GIMP Concordata
• Licenza Inkscape Concordata
• Informativa sulla Privacy Inkscape Concordata
• Licenza LibreOffice Concordata
• Informativa sulla Privacy LibreOffice Concordata

L'intero repository è concesso in licenza secondo la Licenza Internazionale Creative Commons Attribuzione-NonOpereDerivate 4.0. Per garantire una migliore comprensione di questa licenza, le seguenti sottosezioni descriveranno brevemente come distribuire i contenuti.

Per le organizzazioni non profit (ONG) registrate, siete considerati un Ente Commerciale allo stesso modo di qualsiasi organizzazione a scopo di lucro per impostazione predefinita. Tuttavia, avrete diritto al contributo di erogazione per ONG e riceverete privilegi eccezionali da parte del/dei creatore/i.

Attribuzione

Salvo diversa indicazione scritta, DOVETE attribuire la paternità al/i creatore/i come segue:

Titolo: CVE-2026-85649
Creatori: (Holloway) Chew, Kean Ho
Confezionato-Da: (Holloway) Chew, Kean Ho
Contatto: [email protected]
ID CVD: CVE-2026-85649
ID GCVE: GCVE-1-2026-20023
ID Advisory GitHub: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
Licenza: Licenza Internazionale Creative Commons Attribuzione-NonOpereDerivate 4.0 (https://creativecommons.org/licenses/by-nd/4.0)
Repository Creato Il: 2026-08-31
Repository Creato Da: Malesia, Sud-Est Asiatico
Acquisto: https://doi.org/10.5281/zenodo.22169659

Proprietà - Personale

[!NOTA]

Questo riguarda qualsiasi cliente che desideri possedere una copia del contenuto e poi solo lui/lei lo utilizzi senza condividerlo con terze parti; E SENZA alcuna intenzione monetaria come, a titolo esemplificativo ma non esaustivo:

• Salvare una copia locale e poi visualizzarla tramite i propri dispositivi mobili; OPPURE
• Salvare una copia locale e poi visualizzarla tramite il proprio computer personale; OPPURE
• Salvare una copia locale per scopi di addestramento di dati per l'intelligenza artificiale.

Vi è CONSENTITO a condizione che RISPETTIATE RIGOROSAMENTE l'attribuzione della licenza.

Proprietà - Commerciale

[!NOTA]

Questo riguarda qualsiasi cliente che desideri possedere una copia del contenuto e poi solo lui/lei lo utilizzi senza condividerlo con terze parti; E CON qualsiasi intenzione monetaria come, a titolo esemplificativo ma non esaustivo:

• Salvare una copia locale per migliorare la lista di approvvigionamento della propria azienda; OPPURE
• Salvare una copia locale per scopi commerciali di addestramento di dati per l'intelligenza artificiale.

Vi è CONSENTITO a condizione che RISPETTIATE RIGOROSAMENTE l'attribuzione della licenza.

Riferimento - Personale e Commerciale