CVE-2026-85649
(Holloway) Chew, Kean Ho 氏の Actualizer v1.2.0 以前には、Shell/debian-minbase-install.sh の Alpha ユーザーおよび root...
- 公開済み
- 2026/09/04
- 更新済み
- 2026/09/04
- CNA の割り当て
- CIRCL
- 観察された証拠
- 2026/09/05
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N低 · 今後 30 日間
- パーセンタイル
- 11.1%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
(Holloway) Chew, Kean Ho 氏の Actualizer v1.2.0 以前には、`Shell/debian-minbase-install.sh` の Alpha ユーザーおよび root ユーザーのパスワードループにおいて、フェイルオープン型のパスワード検証の脆弱性が存在します。このインストーラーは `mkpasswd` を呼び出して yescrypt パスワードハッシュを生成しますが、コマンドの戻り値をチェックせず、結果を無条件に受け入れます。`mkpasswd` が yescrypt ハッシュの生成に失敗した場合（例えば、互換性のない `mkpasswd` 実装や yescrypt をサポートしない環境が使用された場合）、生成されるパスワードハッシュ変数が空になる可能性があり、ビルドはそのまま続行されます。その結果、生成されるイメージには root アカウントと alpha アカウントのパスワードフィールドが空で含まれる可能性があり、認証設定によってはパスワードなしの認証が許可される恐れがあります。
ソース
1[MIRROR] CVE-2026-85649 セキュリティ研究公開資料。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。