CVE-2026-85649 | (Holloway) Chew, Kean Ho's Knowledge Research

Em 2026-08-26, uma vulnerabilidade de segurança (CVSS: 7.9, Alta[7]) foi relatada no (Holloway) Chew, Kean Ho's Actualizer v1.2.0 e versões anteriores. A ferramenta presumia que o comando mkpasswd sempre produz um hash de senha yescrypt válido. Em situações onde o mkpasswd instalado não possui suporte a yescrypt, o comando falha e produz um valor vazio. Devido a essa falha lógica, o valor vazio era passado adiante sem verificação e acabava se tornando a senha na imagem construída. Como resultado, tanto a conta de usuário root quanto a alpha da imagem downstream permitem login sem senha. Isso significa que v1.2.0 e versões anteriores são vulneráveis a:

CWE-636: "Não Falhar com Segurança (Falha Aberta)" — defeito primário[2]; E
CWE-252: "Valor de Retorno Não Verificado" — defeito secundário[3].

A correção foi desenvolvida e publicada como (Holloway) Chew, Kean Ho's Actualizer v1.2.1 em 2026-08-27 antes da divulgação pública. Os usuários apenas precisam usar v1.2.1 e versões superiores — isso é tudo. Além disso, este artigo de pesquisa documenta todo o incidente de segurança em detalhes apenas para fins educacionais e de referência.

Verificando a Integridade do Conteúdo

Para proteger o conteúdo contra modificação não autorizada por qualquer pessoa até o nível de bit (0|1), ele é criptograficamente assinado usando uma ou mais ferramentas de criptografia tais como, mas não se limitando a:

GnuPG; E/OU
OpenSSL.

A chave pública e o certificado associado estão anexados. Apenas o proprietário principal mantém e conserva as chaves privadas. Para verificar a integridade do conteúdo:

GnuPG

Instale o software GnuPG se não estiver presente.
Baixe o arquivo alvo e seu arquivo de assinatura destacada (o arquivo .asc com o mesmo nome de arquivo).
Baixe o arquivo de chave pública (.gpg).
Coloque-os lado a lado no diretório.
Abra um terminal e execute o seguinte comando:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

Instale o software OpenSSL se não estiver presente.
Baixe o arquivo alvo e seu arquivo de assinatura destacada (o arquivo .sig/.sign com o mesmo nome de arquivo).
Baixe o arquivo de certificado público (.pem) contendo a chave pública dentro.
Coloque-os lado a lado no diretório.
Abra um terminal e execute o seguinte comando:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

Decretos de Inteligência Artificial (I.A.)

Consulte AI_DECREES.md para a política do projeto sobre o uso de Inteligência Artificial.

Notas dos Mantenedores

Consulte CONTRIBUTING.md para as diretrizes de contribuição e manutenção.

Licença

Todo este repositório está licenciado sob a Licença Internacional Creative Commons Atribuição-SemDerivações 4.0. Para garantir uma melhor compreensão desta licença, as seguintes subseções descreverão brevemente como implantar o conteúdo.

Para organizações sem fins lucrativos registradas (ONG), você é considerado uma Entidade Comercial da mesma forma que qualquer organização com fins lucrativos por padrão. No entanto, você será elegível para a subvenção de desembolso para ONGs e receberá privilégios de exceção do(s) criador(es).

Atribuição

Salvo indicação em contrário por escrito, você DEVE atribuir o crédito de volta ao(s) criador(es) da seguinte forma:

Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659

Propriedade - Pessoal

[!NOTE]

Isto se destina a qualquer cliente que queira possuir uma cópia do conteúdo e então apenas ele/ela o utiliza sem compartilhar com qualquer entidade terceirizada; E SEM qualquer intenção monetária, tais como, mas não se limitando a:

Salvar uma cópia local e depois visualizá-la através de seu(s) próprio(s) dispositivo(s) móvel(is); OU

Salvar uma cópia local e depois visualizá-la através de seu próprio computador pessoal; OU

Salvar uma cópia local para fins de treinamento de dados de inteligência artificial.

Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.

Propriedade - Comercial

[!NOTE]

Isto se destina a qualquer cliente que queira possuir uma cópia do conteúdo e então apenas ele/ela o utiliza sem compartilhar com qualquer entidade terceirizada; E COM qualquer intenção monetária, tais como, mas não se limitando a:

Salvar uma cópia local para aprimorar a lista de aquisições de sua empresa; OU

Salvar uma cópia local para fins comerciais de treinamento de dados de inteligência artificial.