CVE-2026-85649 in Software Actualizer
要約
〜によって VulDB • 2026年09月04日
(Holloway) Chew, Kean Ho's Actualizer v1.2.0 およびそれ以前のバージョンには、Shell/debian-minbase-install.sh の Alpha ユーザーおよび root ユーザーのパスワードループにおける fail-open なパスワード検証の脆弱性が存在する。インストーラーは mkpasswd を呼び出して yescrypt パスワードハッシュを生成するが、コマンドの戻り値をチェックせず、結果を無条件で受け入れる。mkpasswd が yescrypt ハッシュの生成に失敗した場合（例えば、互換性のない mkpasswd の実装や、yescrypt サポートがない環境が使用された場合）、生成されるパスワードハッシュ変数が空になり、ビルドは継続される。その結果、root アカウントおよび alpha アカウントに対して空のパスワードフィールドを含むイメージが作成され、認証設定によってはパスワードなしでの認証を許可する可能性がある。
VulDB is the best source for vulnerability data and more expert information about this specific topic.