🇰🇷 한글 설명
Actualizer 1.2.0 미만 버전에서 사용자 비밀번호를 SHA512로만 해싱하여 저장하는데, 이는 Argon2i나 Yescript 같은 더 강력한 알고리즘보다 훨씬 약합니다. 공격자가 해시된 비밀번호 파일을 탈취하면 brute-force 공격으로 원본 비밀번호를 비교적 쉽게 복구할 수 있습니다. 영향받는 모든 사용자는 1.2.0으로 업그레이드하고 root/alpha 계정 비밀번호를 수동으로 변경해야 합니다.
💡 쉬운 설명
Actualizer 도구가 사용자 비밀번호를 약한 방식으로 암호화하고 있어서 해커가 비밀번호를 복구할 수 있습니다. 업그레이드하고 비밀번호를 변경하면 됩니다.
🇺🇸 원문 (English)
Actualizer is a single shell script solution to allow developers and embedded engineers to create Debian operating systems (OS). Prior to version 1.2.0, Actualizer uses OpenSSL's "-passwd" function, which uses SHA512 instead of a more suitable password hasher like Yescript/Argon2i. All Actualizer users building a full Debian Operating System are affected. Users should upgrade to version 1.2.0 of Actualizer. Existing OS deployment requires manual password changes against the alpha and root accounts. The change will deploy's Debian's yescript overriding the older SHA512 hash created by OpenSSL. As a workaround, users need to reset both `root` and "Alpha" users' passwords.
📍 영향받는 시스템
Actualizer < 1.2.0 (모든 Debian OS 빌드 사용자)
⚔️ 공격 벡터
SHA512 해시 탈취 후 GPU 기반 brute-force 공격으로 원본 비밀번호 복구
🛡️ 대응 방법
Actualizer를 1.2.0 이상으로 업그레이드하고 root/alpha 계정의 비밀번호를 즉시 변경
🔧 검증 코드
설치된 Actualizer의 버전이 1.2.0 이상이면 SAFE, 미만이면 VULNERABLE로 표시됩니다.
actualizer --version | grep -E '1\.[2-9]|[2-9]\.[0-9]' && echo 'SAFE' || echo 'VULNERABLE'