2026年8月26日、(Holloway) Chew, Kean Ho's Actualizer v1.2.0 以下において、セキュリティ脆弱性（CVSS: 7.9、High[7]）が報告されました。このツールは、mkpasswd コマンドが常に有効な yescrypt パスワードハッシュを生成すると想定していました。インストールされている mkpasswd が yescrypt をサポートしていない状況では、コマンドは代わりに失敗し、空の値を生成します。このロジックの欠陥により、空の値はチェックされずに渡され、ビルドされたイメージ内のパスワードとして設定されました。その結果、ダウンストリームイメージの root および alpha ユーザーアカウントの両方がパスワードなしログインを許可します。つまり、v1.2.0 以下は以下に対して脆弱です：
修正は、公開開示に先立ち、2026年8月27日に (Holloway) Chew, Kean Ho's Actualizer v1.2.1 として開発・公開されました。 それ以外に、この調査論文は、教育および参照目的のみのために、セキュリティインシデント全体を詳細に文書化したものです。
v1.2.1 以上を使用するだけで十分です — それだけです。
コンテンツをビットレベル（0|1）まで誰による不正な変更から保護するため、コンテンツは以下を含むがこれに限定されない1つ以上の暗号化ツールを使用して暗号署名されています：
公開鍵と関連する証明書が添付されています。秘密鍵はメインの所有者のみが保持・管理します。コンテンツの整合性を検証するには：
.asc ファイル）をダウンロードします。.gpg）をダウンロードします。$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign ファイル）をダウンロードします。.pem）をダウンロードします。$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
人工知能の使用に関するプロジェクトの方針については、AI_DECREES.md を参照してください。
貢献およびメンテナンスのガイドラインについては、CONTRIBUTING.md を参照してください。
このリポジトリ全体は Creative Commons Attribution-NoDerivatives 4.0 International License の下でライセンスされています。 このライセンスの理解を深めるために、以下のサブセクションではコンテンツの展開方法について簡単に説明します。
登録された非営利組織（NGO）の場合、デフォルトでは営利組織と同様に Commercial Entity（商業事業体）と見なされます。ただし、NGO 給付金の受給資格があり、作成者から特別な権限の例外を受けることができます。
書面による別段の指定がない限り、以下のように作成者に帰属表示を行う必要があります：
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
これは、コンテンツのコピーを所有し、第三者と共有せずに自分だけで使用したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がない場合を対象としています：
- ローカルコピーを保存し、自分のモバイル端末で閲覧する；または
- ローカルコピーを保存し、自分の個人用コンピューターで閲覧する；または
- 人工知能データトレーニング目的でローカルコピーを保存する。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。
[!NOTE]
これは、コンテンツのコピーを所有し、第三者と共有せずに自分だけで使用したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がある場合を対象としています：
- 会社の調達リストを強化するためにローカルコピーを保存する；または
- 商業用人工知能データトレーニング目的でローカルコピーを保存する。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。
[!NOTE]
これは、第三者向けに元のコンテンツの入手先を参照または案内したいが、元のコンテンツの一部を直接表示せず、以下を含むがこれに限定されない金銭的な意図がない顧客を対象としています：
- 学術研究および論文執筆；または
- 自分のストリーミングプラットフォーム向けに、元のコンテンツを一切表示せずに元のコンテンツへリンクする新しいコンテンツの作成；または
- 元のコンテンツを一切表示せずに元のコンテンツへリンクするコンテンツの制作および収集；または
- 元のコンテンツを一切表示せずに元のコンテンツへリンクするウェブポートフォリオプロジェクト；または
- 元のコンテンツを一切表示せずに元のコンテンツへリンクするイベント資料；または
- 元のコンテンツを一切表示せずに元のコンテンツへリンクする会議資料；または
- 元のコンテンツを一切表示せずに元のコンテンツへリンクする広告コンテンツ。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。
[!NOTE]
これは、元のコンテンツの一部のみ（全てではない） を、元の意図、アートディレクション、メッセージを保持したまま、そのまま、またはリミックスや変更を加えずに自分のコンテンツ作成に直接表示したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がない場合を対象としています：
- 自分のストリーミングプラットフォーム向けに、元のコンテンツの一部を表示する新しいコンテンツの作成（金銭的利益なし）；または
- 元のコンテンツの一部を表示するコンテンツの制作および収集（金銭的利益なし）；または
- 元のコンテンツの一部を表示するウェブポートフォリオプロジェクト（金銭的利益なし）；または
- 元のコンテンツの一部を表示するイベント資料（金銭的利益なし）；または
- 元のコンテンツの一部を表示する会議資料（金銭的利益なし）。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。
[!NOTE]
これは、元のコンテンツの一部のみ（全てではない） を、元の意図、アートディレクション、メッセージを保持したまま、そのまま、またはリミックスや変更を加えずに自分のコンテンツ作成に直接表示したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がある場合を対象としています：
- 自分のストリーミングプラットフォーム向けに、元のコンテンツの一部を表示する新しいコンテンツの作成；または
- 元のコンテンツの一部を表示するコンテンツの制作および収集；または
- 元のコンテンツの一部を表示するウェブポートフォリオプロジェクト；または
- 元のコンテンツの一部を表示するイベント資料；または
- 元のコンテンツの一部を表示する会議資料；または
- 元のコンテンツの一部を表示する広告資料。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。
[!NOTE]
これは、元のコンテンツを所有し、元の意図、アートディレクション、またはメッセージを保持または変更しながら広範囲に変更して、新しいコンテンツ作成を構成したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がない場合を対象としています：
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合した新しいコンテンツの作成（広告手数料を含むいかなる利益もなし）；または
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合した個人用コンテンツの制作および収集（広告手数料を含むいかなる利益もなし）；または
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合した個人用ウェブポートフォリオプロジェクト（広告手数料を含むいかなる利益もなし）；または
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合したソーシャルメディアミームコンテンツの作成（広告手数料を含むいかなる利益もなし）。
ライセンスの制限により、許可されていません。
[!NOTE]
これは、元のコンテンツを所有し、元の意図、アートディレクション、またはメッセージを保持または変更しながら広範囲に変更して、新しいコンテンツ作成を構成したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がある場合を対象としています：
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合した新しいコンテンツの作成；または
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合した個人用コンテンツの制作および収集；または
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合した個人用ウェブポートフォリオプロジェクト；または
- 自分のストリーミングプラットフォーム向けに、デジタル加工・処理された元のコンテンツを統合したソーシャルメディアミームコンテンツの作成。
ライセンスの制限により、許可されていません。
[!NOTE]
これは、元の、変更された、または派生したコンテンツを共有、放送、再配布、販売、または再販したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がない場合を対象としています：
- 家族との共有；または
- プライベートビューアーアクセス付きのストリーミングプラットフォームでのコンテンツのストリーミング；または
- プライベートに招待されたゲストを伴う自身のギャラリーでのコンテンツの展示；または
- リビングルームなどの私的な無料入場のオープンスペースでのコンテンツの展示；または
- 元のコンテンツのコピーを所有し、プライベートネットワーク（例：セルフホスト型ホームネットワーク）のウェブサイトでダウンロード可能なコンテンツとして提供する；または
- 電子メールやインスタントメッセンジャーなどのソーシャルメディアやメッセージングアプリケーションでの元のコンテンツの共有。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。
[!NOTE]
これは、元の、変更された、または派生したコンテンツを共有、放送、再配布、販売、または再販したい顧客を対象としています。また、以下を含むがこれに限定されない金銭的な意図がある場合を対象としています：
- 公開またはプライベートビューアーアクセス付きのストリーミングプラットフォームでのコンテンツのストリーミング；または
- 無料または有料のゲスト招待を伴う、あらゆる企業の公開イベントでのコンテンツの展示；または
- 無料または有料のゲスト招待を伴う、あらゆる企業の社内/プライベートイベントでのコンテンツの展示；または
- 元のコンテンツのコピーを所有し、あらゆるネットワーク（インターネット、イントラネット、またはプライベートネットワーク）上の自身のウェブサイトで無料または有料のダウンロード可能なコンテンツとして提供する；または
- 電子メールやインスタントメッセンジャーなどのソーシャルメディアやメッセージングアプリケーションでの元のコンテンツの共有；または
- 複数の収益を生むストリーミングプラットフォームを介した元のコンテンツの配布。
ライセンスの帰属表示に厳密に従うことを条件に、許可されています。