CVE-2026-85649 | (Holloway) Chew, Kean Ho's Knowledge Research

2026-08-26 года была обнаружена уязвимость безопасности (CVSS: 7.9, High[7]) в (Holloway) Chew, Kean Ho's Actualizer v1.2.0 и более ранних версиях. Инструмент предполагал, что команда mkpasswd всегда генерирует корректный хэш пароля yescrypt. В ситуациях, когда установленный mkpasswd не поддерживает yescrypt, команда вместо этого завершалась с ошибкой и возвращала пустое значение. Из-за этого логического дефекта пустое значение передавалось без проверки и попадало в качестве пароля в создаваемый образ. В результате как учётная запись root, так и учётная запись alpha в итоговом образе допускали вход без пароля. Это означает, что v1.2.0 и более ранние версии уязвимы для:

CWE-636: «Ненадёжный отказ (открытый отказ)» — основной дефект[2]; И
CWE-252: «Непроверяемое возвращаемое значение» — вторичный дефект[3].

Исправление было разработано и опубликовано как (Holloway) Chew, Kean Ho's Actualizer v1.2.1 2026-08-27 года до публичного раскрытия. Пользователям достаточно использовать v1.2.1 и выше — и всё. Помимо этого, данная исследовательская работа документирует весь инцидент безопасности в деталях исключительно в образовательных и справочных целях.

Проверка целостности содержимого

Чтобы защитить содержимое от несанкционированного изменения кем-либо вплоть до битового уровня (0|1), оно криптографически подписывается с помощью одного или нескольких криптографических инструментов, таких как (но не ограничиваясь):

GnuPG; И/ИЛИ
OpenSSL.

Открытый ключ и соответствующий сертификат прилагаются. Только основной владелец хранит и обслуживает закрытые ключи. Для проверки целостности содержимого:

GnuPG

Установите программное обеспечение GnuPG, если оно отсутствует.
Загрузите целевой файл и его отсоединённый файл подписи (файл .asc с тем же именем файла).
Загрузите файл открытого ключа (.gpg).
Разместите их рядом друг с другом в каталоге.
Откройте терминал и выполните следующую команду:

$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc

OpenSSL

Установите программное обеспечение OpenSSL, если оно отсутствует.
Загрузите целевой файл и его отсоединённый файл подписи (файл .sig/.sign с тем же именем файла).
Загрузите файл открытого сертификата (.pem), содержащий открытый ключ.
Разместите их рядом друг с другом в каталоге.
Откройте терминал и выполните следующую команду:

$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file

Декреты об искусственном интеллекте (И.И.)

Пожалуйста, обратитесь к AI_DECREES.md для ознакомления с политикой проекта в отношении использования искусственного интеллекта.

Примечания сопровождающих

Пожалуйста, обратитесь к CONTRIBUTING.md для ознакомления с руководствами по внесению вклада и сопровождению.

Лицензия

Весь этот репозиторий лицензирован в соответствии с Международной лицензией Creative Commons Attribution-NoDerivatives 4.0. Для лучшего понимания этой лицензии следующие подразделы кратко описывают, как можно использовать содержимое.

Для зарегистрированных некоммерческих организаций (НКО) вы по умолчанию считаетесь Коммерческим субъектом так же, как и любая коммерческая организация. Однако вы будете иметь право на грант для НКО и получите исключительные привилегии от создателя(ей).

Атрибуция

Если не указано иное в письменной форме, вы ОБЯЗАНЫ указывать авторство создателя(ей) следующим образом:

Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659

Владение — Личное

[!NOTE]

Это относится к любому клиенту, желающему владеть копией содержимого и затем использовать её только самостоятельно, без передачи какой-либо третьей стороне; И БЕЗ каких-либо денежных намерений, таких как (но не ограничиваясь):

Сохранение локальной копии и просмотр её на собственных мобильных устройствах; ИЛИ

Сохранение локальной копии и просмотр её на собственном персональном компьютере; ИЛИ

Сохранение локальной копии для целей обучения искусственного интеллекта.

Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.

Владение — Коммерческое

[!NOTE]

Это относится к любому клиенту, желающему владеть копией содержимого и затем использовать её только самостоятельно, без передачи какой-либо третьей стороне; И С любыми денежными намерениями, такими как (но не ограничиваясь):

Сохранение локальной копии для улучшения закупочного списка своей компании; ИЛИ

Сохранение локальной копии для коммерческого обучения искусственного интеллекта.