chewkeanho/research-cve-2026-85649[MIRROR] CVE-2026-85649 보안 연구 발표.
2026-08-26에 보안 취약점(CVSS: 7.9, High[7])이
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 이하 버전에서 보고되었습니다. 해당 도구는
mkpasswd 명령이 항상 유효한 yescrypt 비밀번호 해시를 생성한다고 가정했습니다.
설치된 mkpasswd에 yescrypt 지원이 없는 상황에서는
명령이 대신 실패하여 빈 값을 생성합니다. 이 논리 결함으로 인해
빈 값이 검사되지 않은 채 전달되어 빌드된 이미지의 비밀번호가 되었습니다.
그 결과, 다운스트림 이미지의 root 및 alpha 사용자 계정 모두
비밀번호 없이 로그인이 가능합니다. 즉, v1.2.0 이하 버전은
다음에 취약합니다:
해결책은 공개 공개에 앞서 2026-08-27에
(Holloway) Chew, Kean Ho's Actualizer v1.2.1로 개발 및 배포되었습니다.
그 외에, 본 연구 문서는 교육 및 참고 목적으로만 전체 보안 사고를
자세히 기록합니다.
v1.2.1 이상 버전만 사용하면 됩니다 — 그게 전부입니다.
콘텐츠를 비트 수준(0|1)까지 무단 수정으로부터 보호하기 위해,
다음을 포함하되 이에 국한되지 않는 하나 이상의 암호화 도구를 사용하여
암호화 서명됩니다:
공개 키와 관련 인증서가 첨부되어 있습니다. 개인 키는 메인 소유자만 보관하고 유지 관리합니다. 콘텐츠 무결성을 검증하려면:
.asc 파일)을 다운로드합니다..gpg)을 다운로드합니다.$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign 파일)을 다운로드합니다..pem)을 다운로드합니다.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
인공지능 사용에 관한 프로젝트 정책은 AI_DECREES.md를 참조하십시오.
기여 및 유지 관리 지침은 CONTRIBUTING.md를 참조하십시오.
이 전체 저장소는 Creative Commons Attribution-NoDerivatives 4.0 International License에 따라 라이선스가 부여됩니다. 이 라이선스를 더 잘 이해하기 위해 다음 하위 섹션에서 콘텐츠를 배포하는 방법을 간략히 설명합니다.
등록된 비영리 조직(NGO)의 경우, 기본적으로 영리 조직과 동일하게
Commercial Entity로 간주됩니다. 그러나 NGO 지급 보조금을 받을 자격이 있으며
창작자로부터 예외 특권을 받을 수 있습니다.
서면으로 달리 명시되지 않는 한, 다음 방식으로 창작자에게 저작자 표시를 해야 합니다(MUST):
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
이는 콘텐츠 사본을 소유하고 제3자와 공유하지 않고 본인만 사용하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 없는 경우를 포함하되 이에 국한되지 않습니다:
- 로컬 사본을 저장한 후 본인의 모바일 기기로 보기; OR
- 로컬 사본을 저장한 후 본인의 개인 컴퓨터로 보기; OR
- 인공지능 데이터 학습 목적으로 로컬 사본 저장.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).
[!NOTE]
이는 콘텐츠 사본을 소유하고 제3자와 공유하지 않고 본인만 사용하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 있는 경우를 포함하되 이에 국한되지 않습니다:
- 회사의 조달 목록을 강화하기 위한 로컬 사본 저장; OR
- 상업적 인공지능 데이터 학습 목적으로 로컬 사본 저장.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).
[!NOTE]
이는 원본 콘텐츠의 일부를 직접 표시하지 않고 제3자에게 원본 콘텐츠를 조달하기 위한 안내 또는 참조를 제공하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 없는 경우를 포함하되 이에 국한되지 않습니다:
- 학술 연구 및 논문 작성; OR
- 본인의 스트리밍 플랫폼을 위해 원본 콘텐츠를 표시하지 않고 원본 콘텐츠에 연결하는 새 콘텐츠 제작; OR
- 원본 콘텐츠를 표시하지 않고 원본 콘텐츠에 연결하는 콘텐츠 제작 및 수집; OR
- 원본 콘텐츠를 표시하지 않고 원본 콘텐츠에 연결하는 웹 포트폴리오 프로젝트; OR
- 원본 콘텐츠를 표시하지 않고 원본 콘텐츠에 연결하는 이벤트 자료; OR
- 원본 콘텐츠를 표시하지 않고 원본 콘텐츠에 연결하는 회의 자료; OR
- 원본 콘텐츠를 표시하지 않고 원본 콘텐츠에 연결하는 광고 콘텐츠.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).
[!NOTE]
이는 원본 콘텐츠의 일부만 직접 표시하고 전체를 표시하지 않으면서, 원본 의도, 아트 방향 및 메시지를 유지하는 리믹스나 수정 없이 원본 그대로 또는 그대로 본인의 콘텐츠 제작에 통합하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 없는 경우를 포함하되 이에 국한되지 않습니다:
- 금전적 이득 없이 본인의 스트리밍 플랫폼을 위해 원본 콘텐츠의 일부를 표시하는 새 콘텐츠 제작; OR
- 금전적 이득 없이 원본 콘텐츠의 일부를 표시하는 콘텐츠 제작 및 수집; OR
- 금전적 이득 없이 원본 콘텐츠의 일부를 표시하는 웹 포트폴리오 프로젝트; OR
- 금전적 이득 없이 원본 콘텐츠의 일부를 표시하는 이벤트 자료; OR
- 금전적 이득 없이 원본 콘텐츠의 일부를 표시하는 회의 자료.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).
[!NOTE]
이는 원본 콘텐츠의 일부만 직접 표시하고 전체를 표시하지 않으면서, 원본 의도, 아트 방향 및 메시지를 유지하는 리믹스나 수정 없이 원본 그대로 또는 그대로 본인의 콘텐츠 제작에 통합하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 있는 경우를 포함하되 이에 국한되지 않습니다:
- 본인의 스트리밍 플랫폼을 위해 원본 콘텐츠의 일부를 표시하는 새 콘텐츠 제작; OR
- 원본 콘텐츠의 일부를 표시하는 콘텐츠 제작 및 수집; OR
- 원본 콘텐츠의 일부를 표시하는 웹 포트폴리오 프로젝트; OR
- 원본 콘텐츠의 일부를 표시하는 이벤트 자료; OR
- 원본 콘텐츠의 일부를 표시하는 회의 자료; OR
- 원본 콘텐츠의 일부를 표시하는 광고 자료.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).
[!NOTE]
이는 원본 콘텐츠를 소유한 후 원본 의도, 아트 방향 또는 메시지를 유지하거나 변경하면서 광범위하게 수정하여 본인의 새 콘텐츠 제작을 구성하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 없는 경우를 포함하되 이에 국한되지 않습니다:
- 광고 수수료를 포함한 어떠한 수익 없이 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 새 콘텐츠 제작; OR
- 광고 수수료를 포함한 어떠한 수익 없이 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 개인 콘텐츠 제작 및 수집; OR
- 광고 수수료를 포함한 어떠한 수익 없이 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 개인 웹 포트폴리오 프로젝트; OR
- 광고 수수료를 포함한 어떠한 수익 없이 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 소셜 미디어 밈 콘텐츠 제작.
라이선스 제한으로 인해 허용되지 않습니다(NOT ALLOWED).
[!NOTE]
이는 원본 콘텐츠를 소유한 후 원본 의도, 아트 방향 또는 메시지를 유지하거나 변경하면서 광범위하게 수정하여 본인의 새 콘텐츠 제작을 구성하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 있는 경우를 포함하되 이에 국한되지 않습니다:
- 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 새 콘텐츠 제작; OR
- 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 개인 콘텐츠 제작 및 수집; OR
- 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 개인 웹 포트폴리오 프로젝트; OR
- 본인의 스트리밍 플랫폼을 위해 디지털 수정 및 처리된 원본 콘텐츠 통합으로 소셜 미디어 밈 콘텐츠 제작.
라이선스 제한으로 인해 허용되지 않습니다(NOT ALLOWED).
[!NOTE]
이는 원본, 수정된, 또는 파생된 콘텐츠를 공유, 방송, 재배포, 판매 또는 재판매하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 없는 경우를 포함하되 이에 국한되지 않습니다:
- 가족 구성원과 공유; OR
- 비공개 시청자 접근이 가능한 스트리밍 플랫폼을 통해 콘텐츠 스트리밍; OR
- 비공개 초대 손님과 함께 본인의 갤러리에서 콘텐츠 전시; OR
- 거실과 같은 비공개 무료 입장 공간에서 콘텐츠 전시; OR
- 원본 콘텐츠 사본을 소유하고 비공개 네트워크(예: 자체 호스팅 홈 네트워크)의 웹사이트에서 다운로드 가능한 콘텐츠로 제공; OR
- 이메일 또는 인스턴트 메신저와 같은 소셜 미디어 또는 메시징 애플리케이션을 통해 원본 콘텐츠 공유.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).
[!NOTE]
이는 원본, 수정된, 또는 파생된 콘텐츠를 공유, 방송, 재배포, 판매 또는 재판매하려는 모든 고객을 대상으로 합니다. 그리고 다음과 같은 금전적 의도가 있는 경우를 포함하되 이에 국한되지 않습니다:
- 공개 또는 비공개 시청자 접근이 가능한 스트리밍 플랫폼을 통해 콘텐츠 스트리밍; OR
- 무료 또는 유료 게스트 초대가 있는 회사의 공개 이벤트에서 콘텐츠 전시; OR
- 무료 또는 유료 게스트 초대가 있는 회사의 내부/비공개 이벤트에서 콘텐츠 전시; OR
- 원본 콘텐츠 사본을 소유하고 모든 네트워크(인터넷, 인트라넷 또는 비공개 네트워크)의 본인 웹사이트에서 무료 또는 유료 다운로드 가능한 콘텐츠로 제공; OR
- 이메일 또는 인스턴트 메신저와 같은 소셜 미디어 또는 메시징 애플리케이션을 통해 원본 콘텐츠 공유; OR
- 여러 수익 창출 스트리밍 플랫폼을 통해 원본 콘텐츠 배포.
라이선스 저작자 표시를 엄격히 준수하는 경우 허용됩니다(ALLOWED).