chewkeanho/research-cve-2026-85649[MIRROR] A Publicação de Pesquisa de Segurança CVE-2026-85649.
Em 2026-08-26, uma vulnerabilidade de segurança (CVSS: 7.9, Alta[7]) foi relatada no
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 e versões anteriores. A ferramenta presumia
que o comando mkpasswd sempre produz um hash de senha yescrypt válido.
Em situações onde o mkpasswd instalado não possui suporte a yescrypt, o
comando falha e produz um valor vazio. Devido a essa falha lógica, o
valor vazio era passado adiante sem verificação e acabava se tornando a senha na
imagem construída. Como resultado, tanto a conta de usuário root quanto a alpha da
imagem downstream permitem login sem senha. Isso significa que v1.2.0 e versões anteriores
são vulneráveis a:
A correção foi desenvolvida e publicada como
(Holloway) Chew, Kean Ho's Actualizer v1.2.1 em 2026-08-27 antes da divulgação
pública. Os usuários apenas precisam usar v1.2.1 e versões superiores — isso é tudo.
Além disso, este artigo de pesquisa documenta todo o incidente de segurança em
detalhes apenas para fins educacionais e de referência.
Para proteger o conteúdo contra modificação não autorizada por qualquer pessoa até o nível de bit
(0|1), ele é criptograficamente assinado usando uma ou mais ferramentas de criptografia
tais como, mas não se limitando a:
A chave pública e o certificado associado estão anexados. Apenas o proprietário principal mantém e conserva as chaves privadas. Para verificar a integridade do conteúdo:
.asc
com o mesmo nome de arquivo)..gpg).$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign
com o mesmo nome de arquivo)..pem) contendo a chave pública
dentro.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Consulte AI_DECREES.md para a política do projeto sobre o uso de Inteligência Artificial.
Consulte CONTRIBUTING.md para as diretrizes de contribuição e manutenção.
Todo este repositório está licenciado sob a Licença Internacional Creative Commons Atribuição-SemDerivações 4.0. Para garantir uma melhor compreensão desta licença, as seguintes subseções descreverão brevemente como implantar o conteúdo.
Para organizações sem fins lucrativos registradas (ONG), você é considerado uma
Entidade Comercial da mesma forma que qualquer organização com fins lucrativos por padrão. No entanto,
você será elegível para a subvenção de desembolso para ONGs e receberá privilégios
de exceção do(s) criador(es).
Salvo indicação em contrário por escrito, você DEVE atribuir o crédito de volta ao(s) criador(es) da seguinte forma:
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
Isto se destina a qualquer cliente que queira possuir uma cópia do conteúdo e então apenas ele/ela o utiliza sem compartilhar com qualquer entidade terceirizada; E SEM qualquer intenção monetária, tais como, mas não se limitando a:
- Salvar uma cópia local e depois visualizá-la através de seu(s) próprio(s) dispositivo(s) móvel(is); OU
- Salvar uma cópia local e depois visualizá-la através de seu próprio computador pessoal; OU
- Salvar uma cópia local para fins de treinamento de dados de inteligência artificial.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira possuir uma cópia do conteúdo e então apenas ele/ela o utiliza sem compartilhar com qualquer entidade terceirizada; E COM qualquer intenção monetária, tais como, mas não se limitando a:
- Salvar uma cópia local para aprimorar a lista de aquisições de sua empresa; OU
- Salvar uma cópia local para fins comerciais de treinamento de dados de inteligência artificial.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira referenciar ou fornecer um guia para obter o conteúdo original para qualquer entidade terceirizada sem exibir diretamente qualquer parte do conteúdo original; SEM qualquer intenção monetária, tais como, mas não se limitando a:
- Pesquisa acadêmica e redação de artigos; OU
- Criação de novo conteúdo com link para o conteúdo original SEM exibir qualquer parte do conteúdo original para sua própria plataforma de streaming; OU
- Produção e coleção de conteúdo com link para o conteúdo original SEM exibir qualquer parte do conteúdo original; OU
- Projeto de portfólio web com link para o conteúdo original SEM exibir qualquer parte do conteúdo original; OU
- Materiais de eventos com link para o conteúdo original SEM exibir qualquer parte do conteúdo original; OU
- Materiais de reuniões com link para o conteúdo original SEM exibir qualquer parte do conteúdo original; OU
- Conteúdos publicitários com link para o conteúdo original SEM exibir qualquer parte do conteúdo original.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira exibir diretamente partes e NÃO TODO o conteúdo original como está OU sem quaisquer remixes ou modificações de composição que preservem a intenção original, direção de arte e mensagens em sua criação de conteúdo; SEM qualquer intenção monetária, tais como, mas não se limitando a:
- Criação de novo conteúdo com exibição de parte(s) do conteúdo original para sua própria plataforma de streaming sem qualquer ganho monetário; OU
- Produção e coleção de conteúdo com exibição de parte(s) do conteúdo original sem qualquer ganho monetário; OU
- Projeto de portfólio web com exibição de parte(s) do conteúdo original sem qualquer ganho monetário; OU
- Materiais de eventos com exibição de parte(s) do conteúdo original sem qualquer ganho monetário; OU
- Materiais de reuniões com exibição de parte(s) do conteúdo original sem qualquer ganho monetário.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira exibir diretamente partes e NÃO TODO o conteúdo original como está OU sem quaisquer remixes ou modificações de composição que preservem a intenção original, direção de arte e mensagens em sua criação de conteúdo; COM qualquer intenção monetária, tais como, mas não se limitando a:
- Criação de novo conteúdo com exibição de parte(s) do conteúdo original para sua própria plataforma de streaming; OU
- Produção e coleção de conteúdo com exibição de parte(s) do conteúdo original; OU
- Projeto de portfólio web com exibição de parte(s) do conteúdo original; OU
- Materiais de eventos com exibição de parte(s) do conteúdo original; OU
- Materiais de reuniões com exibição de parte(s) do conteúdo original; OU
- Materiais publicitários com exibição de parte(s) do conteúdo original.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira possuir e então modificar extensivamente o conteúdo original preservando ou alterando a intenção original, direção de arte, ou mensagem para compor sua nova criação de conteúdo; SEM qualquer intenção monetária, tais como, mas não se limitando a:
- Criação de novo conteúdo com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming SEM quaisquer lucros incluindo comissão de publicidade; OU
- Produção e coleção de conteúdo pessoal com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming SEM quaisquer lucros incluindo comissão de publicidade; OU
- Projeto de portfólio web pessoal com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming SEM quaisquer lucros incluindo comissão de publicidade; OU
- Criação de conteúdo meme para redes sociais com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming SEM quaisquer lucros incluindo comissão de publicidade.
Você NÃO ESTÁ PERMITIDO devido à restrição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira possuir e então modificar extensivamente o conteúdo original preservando ou alterando a intenção original, direção de arte, ou mensagem para compor sua nova criação de conteúdo; COM qualquer intenção monetária, tais como, mas não se limitando a:
- Criação de novo conteúdo com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming; OU
- Produção e coleção de conteúdo pessoal com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming; OU
- Projeto de portfólio web pessoal com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming; OU
- Criação de conteúdo meme para redes sociais com integração de conteúdo original modificado e processado digitalmente para sua própria plataforma de streaming.
Você NÃO ESTÁ PERMITIDO devido à restrição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira compartilhar, transmitir, redistribuir, vender ou revender o conteúdo original, modificado OU derivado SEM qualquer intenção monetária, tais como, mas não se limitando a:
- Compartilhar com membros da família; OU
- Transmitir o conteúdo via qualquer plataforma de streaming com acesso de visualizador privado; OU
- Exibir o conteúdo em sua galeria com convidados convidados privadamente; OU
- Exibir o conteúdo em espaços abertos privados e de entrada gratuita, como sala de estar; OU
- Possuir uma cópia do conteúdo original e servi-la como conteúdo para download em um site em uma rede privada (ex.: rede doméstica auto-hospedada); OU
- Compartilhar o conteúdo original em redes sociais ou aplicativos de mensagens como e-mail ou mensageiro instantâneo.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.
[!NOTE]
Isto se destina a qualquer cliente que queira compartilhar, transmitir, redistribuir, vender ou revender o conteúdo original, modificado OU derivado COM qualquer intenção monetária, tais como, mas não se limitando a:
- Transmitir o conteúdo via qualquer plataforma de streaming com acesso de visualizador público ou privado; OU
- Exibir o conteúdo em eventos públicos de qualquer empresa com convites de convidados gratuitos ou pagos; OU
- Exibir o conteúdo em eventos internos/privados de qualquer empresa com convites de convidados gratuitos ou pagos; OU
- Possuir uma cópia do conteúdo original e servi-la como conteúdo para download gratuito OU pago em seu site em qualquer rede (Internet, Intranet, ou redes privadas); OU
- Compartilhar o conteúdo original em redes sociais ou aplicativos de mensagens como e-mail ou mensageiro instantâneo; OU
- Distribuir o conteúdo original via múltiplas plataformas de streaming que geram lucro.
Você está PERMITIDO desde que CUMPRA ESTRITAMENTE a atribuição da licença.