
[MIRROR] Публикация результатов исследования безопасности CVE-2026-85649.
2026-08-26 года была обнаружена уязвимость безопасности (CVSS: 7.9, High[7]) в
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 и более ранних версиях. Инструмент
предполагал, что команда mkpasswd всегда генерирует корректный хэш пароля
yescrypt. В ситуациях, когда установленный mkpasswd не поддерживает yescrypt,
команда вместо этого завершалась с ошибкой и возвращала пустое значение. Из-за этого
логического дефекта пустое значение передавалось без проверки и попадало в качестве
пароля в создаваемый образ. В результате как учётная запись root, так и учётная запись
alpha в итоговом образе допускали вход без пароля. Это означает, что v1.2.0 и более
ранние версии уязвимы для:
Исправление было разработано и опубликовано как
(Holloway) Chew, Kean Ho's Actualizer v1.2.1 2026-08-27 года до публичного
раскрытия. Пользователям достаточно использовать v1.2.1 и выше — и всё.
Помимо этого, данная исследовательская работа документирует весь инцидент
безопасности в деталях исключительно в образовательных и справочных целях.
Чтобы защитить содержимое от несанкционированного изменения кем-либо вплоть до
битового уровня (0|1), оно криптографически подписывается с помощью одного или
нескольких криптографических инструментов, таких как (но не ограничиваясь):
Открытый ключ и соответствующий сертификат прилагаются. Только основной владелец хранит и обслуживает закрытые ключи. Для проверки целостности содержимого:
.asc
с тем же именем файла)..gpg).$ gpg --no-default-keyring --keyring /path/to/public.gpg --verify /path/to/file.asc
.sig/.sign
с тем же именем файла)..pem), содержащий открытый ключ.$ openssl dgst -verify /path/to/pubkey.pem -signature /path/to/file.sig /path/to/file
Пожалуйста, обратитесь к AI_DECREES.md для ознакомления с политикой проекта в отношении использования искусственного интеллекта.
Пожалуйста, обратитесь к CONTRIBUTING.md для ознакомления с руководствами по внесению вклада и сопровождению.
Весь этот репозиторий лицензирован в соответствии с Международной лицензией Creative Commons Attribution-NoDerivatives 4.0. Для лучшего понимания этой лицензии следующие подразделы кратко описывают, как можно использовать содержимое.
Для зарегистрированных некоммерческих организаций (НКО) вы по умолчанию считаетесь
Коммерческим субъектом так же, как и любая коммерческая организация. Однако
вы будете иметь право на грант для НКО и получите исключительные привилегии
от создателя(ей).
Если не указано иное в письменной форме, вы ОБЯЗАНЫ указывать авторство создателя(ей) следующим образом:
Title: CVE-2026-85649
Creators: (Holloway) Chew, Kean Ho
Packaged-By: (Holloway) Chew, Kean Ho
Contact: [email protected]
CVD ID: CVE-2026-85649
GCVE ID: GCVE-1-2026-20023
GitHub Advisory ID: GHSA-3757-943V-G3C5
SKU: chewkeanho-research-cve-2026-85649
UUID: A90E844A-9BB6-483A-AAEC-2C77C9C3649F
DOI: 10.5281/zenodo.22169659
License: Creative Commons Attribution-NoDerivatives 4.0 International License (https://creativecommons.org/licenses/by-nd/4.0)
Repository Made On: 2026-08-31
Repository Made From: Malaysia, South East Asia
Procure: https://doi.org/10.5281/zenodo.22169659
[!NOTE]
Это относится к любому клиенту, желающему владеть копией содержимого и затем использовать её только самостоятельно, без передачи какой-либо третьей стороне; И БЕЗ каких-либо денежных намерений, таких как (но не ограничиваясь):
- Сохранение локальной копии и просмотр её на собственных мобильных устройствах; ИЛИ
- Сохранение локальной копии и просмотр её на собственном персональном компьютере; ИЛИ
- Сохранение локальной копии для целей обучения искусственного интеллекта.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.
[!NOTE]
Это относится к любому клиенту, желающему владеть копией содержимого и затем использовать её только самостоятельно, без передачи какой-либо третьей стороне; И С любыми денежными намерениями, такими как (но не ограничиваясь):
- Сохранение локальной копии для улучшения закупочного списка своей компании; ИЛИ
- Сохранение локальной копии для коммерческого обучения искусственного интеллекта.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.
[!NOTE]
Это относится к любому клиенту, желающему ссылаться на оригинальное содержимое или предоставлять руководство по его поиску для любой третьей стороны без непосредственного отображения какой-либо части оригинального содержимого; БЕЗ каких-либо денежных намерений, таких как (но не ограничиваясь):
- Академические исследования и написание статей; ИЛИ
- Создание нового контента со ссылкой на оригинальное содержимое БЕЗ отображения какой-либо части оригинального содержимого для собственной стриминговой платформы; ИЛИ
- Производство и сбор контента со ссылкой на оригинальное содержимое БЕЗ отображения какой-либо части оригинального содержимого; ИЛИ
- Веб-портфолио проекта со ссылкой на оригинальное содержимое БЕЗ отображения какой-либо части оригинального содержимого; ИЛИ
- Материалы мероприятий со ссылкой на оригинальное содержимое БЕЗ отображения какой-либо части оригинального содержимого; ИЛИ
- Материалы встреч со ссылкой на оригинальное содержимое БЕЗ отображения какой-либо части оригинального содержимого; ИЛИ
- Рекламные материалы со ссылкой на оригинальное содержимое БЕЗ отображения какой-либо части оригинального содержимого.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.
[!NOTE]
Это относится к любому клиенту, желающему непосредственно отображать ЧАСТИ, а НЕ ВСЁ оригинальное содержимое как есть ИЛИ без каких-либо составных ремиксов или модификаций, сохраняющих исходный замысел, художественное направление и сообщения в своём создаваемом контенте; БЕЗ каких-либо денежных намерений, таких как (но не ограничиваясь):
- Создание нового контента с отображением части(ей) оригинального содержимого для собственной стриминговой платформы без какого-либо денежного вознаграждения; ИЛИ
- Производство и сбор контента с отображением части(ей) оригинального содержимого без какого-либо денежного вознаграждения; ИЛИ
- Веб-портфолио проекта с отображением части(ей) оригинального содержимого без какого-либо денежного вознаграждения; ИЛИ
- Материалы мероприятий с отображением части(ей) оригинального содержимого без какого-либо денежного вознаграждения; ИЛИ
- Материалы встреч с отображением части(ей) оригинального содержимого без какого-либо денежного вознаграждения.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.
[!NOTE]
Это относится к любому клиенту, желающему непосредственно отображать ЧАСТИ, а НЕ ВСЁ оригинальное содержимое как есть ИЛИ без каких-либо составных ремиксов или модификаций, сохраняющих исходный замысел, художественное направление и сообщения в своём создаваемом контенте; С любыми денежными намерениями, такими как (но не ограничиваясь):
- Создание нового контента с отображением части(ей) оригинального содержимого для собственной стриминговой платформы; ИЛИ
- Производство и сбор контента с отображением части(ей) оригинального содержимого; ИЛИ
- Веб-портфолио проекта с отображением части(ей) оригинального содержимого; ИЛИ
- Материалы мероприятий с отображением части(ей) оригинального содержимого; ИЛИ
- Материалы встреч с отображением части(ей) оригинального содержимого; ИЛИ
- Рекламные материалы с отображением части(ей) оригинального содержимого.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.
[!NOTE]
Это относится к любому клиенту, желающему владеть, а затем существенно модифицировать оригинальное содержимое, сохраняя или изменяя исходный замысел, художественное направление или сообщение, для создания своего нового контента; БЕЗ каких-либо денежных намерений, таких как (но не ограничиваясь):
- Создание нового контента с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы БЕЗ какой-либо прибыли, включая рекламные комиссии; ИЛИ
- Личное производство и сбор контента с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы БЕЗ какой-либо прибыли, включая рекламные комиссии; ИЛИ
- Личный веб-портфолио проект с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы БЕЗ какой-либо прибыли, включая рекламные комиссии; ИЛИ
- Создание мем-контента в социальных сетях с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы БЕЗ какой-либо прибыли, включая рекламные комиссии.
Вам НЕ РАЗРЕШЕНО из-за ограничений лицензии.
[!NOTE]
Это относится к любому клиенту, желающему владеть, а затем существенно модифицировать оригинальное содержимое, сохраняя или изменяя исходный замысел, художественное направление или сообщение, для создания своего нового контента; С любыми денежными намерениями, такими как (но не ограничиваясь):
- Создание нового контента с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы; ИЛИ
- Личное производство и сбор контента с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы; ИЛИ
- Личный веб-портфолио проект с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы; ИЛИ
- Создание мем-контента в социальных сетях с цифровой модификацией и обработкой интеграции оригинального содержимого для собственной стриминговой платформы.
Вам НЕ РАЗРЕШЕНО из-за ограничений лицензии.
[!NOTE]
Это относится к любому клиенту, желающему делиться, транслировать, распространять, продавать или перепродавать оригинальное, модифицированное ИЛИ производное содержимое БЕЗ каких-либо денежных намерений, таких как (но не ограничиваясь):
- Обмен с членами семьи; ИЛИ
- Трансляция содержимого через любую стриминговую платформу с доступом для частных зрителей; ИЛИ
- Отображение содержимого в своей галерее для частных приглашённых гостей; ИЛИ
- Отображение содержимого в частных открытых пространствах со свободным входом, таких как гостиная; ИЛИ
- Владение копией оригинального содержимого и предоставление её в качестве загружаемого контента на веб-сайте в частной сети (например, домашняя сеть с самостоятельным хостингом); ИЛИ
- Обмен оригинальным содержимым через социальные сети или приложения для обмена сообщениями, такие как электронная почта или мгновенные мессенджеры.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.
[!NOTE]
Это относится к любому клиенту, желающему делиться, транслировать, распространять, продавать или перепродавать оригинальное, модифицированное ИЛИ производное содержимое С любыми денежными намерениями, такими как (но не ограничиваясь):
- Трансляция содержимого через любую стриминговую платформу с публичным или частным доступом зрителей; ИЛИ
- Отображение содержимого на публичных мероприятиях любой компании с бесплатными или платными приглашениями гостей; ИЛИ
- Отображение содержимого на внутренних/частных мероприятиях любой компании с бесплатными или платными приглашениями гостей; ИЛИ
- Владение копией оригинального содержимого и предоставление её в качестве бесплатного ИЛИ платного загружаемого контента на своём веб-сайте в любой сети (Интернет, интранет или частные сети); ИЛИ
- Обмен оригинальным содержимым через социальные сети или приложения для обмена сообщениями, такие как электронная почта или мгновенные мессенджеры; ИЛИ
- Распространение оригинального содержимого через несколько приносящих прибыль стриминговых платформ.
Вам РАЗРЕШЕНО при условии СТРОГОГО СОБЛЮДЕНИЯ требований лицензии об атрибуции.