CVE-2022-45047
KrytyczneStreszczenie
Klasa org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider w Apache MINA SSHD w wersjach do 2.9.1 wykorzystuje deserializację Java do ładowania zserializowanego obiektu java.security.PrivateKey. Jest to jedna z kilku implementacji, które mogą być używane do ładowania kluczy hosta serwera SSH.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do kluczy prywatnych, co zagraża bezpieczeństwu serwera SSH oraz danych w nim przechowywanych.
Rekomendacja
Zaleca się aktualizację Apache MINA SSHD do wersji nowszej niż 2.9.1, aby wyeliminować ryzyko związane z deserializacją obiektów.
Inne podatności w Apache MINA SSHD
Zobacz wszystkie- CVE-2026-58624Średnie
Podatność w Apache MINA SSHD (komponent sshd-git) pozwala uwierzytelnionemu użytkownikowi SSH na wykonywanie dowolnych komend JGit, w tym zapis plików w dowolnej lokalizacji przez `git archive --output`.
- CVE-2026-56624Wysokie
Nieprawidłowa walidacja certyfikatów w Apache MINA SSHD (strona serwera). Serwer nie sprawdzał opcji force-command ani verify-required w certyfikatach OpenSSH, co pozwalało uwierzytelnionemu użytkownikowi na wykonanie innych poleceń niż określone w certyfikacie. Luka naprawiona w wersjach 2.19.0 i 3.0.0-M5.
- CVE-2026-56623Wysokie
Podatność typu Path Traversal w komponencie sshd-git Apache MINA SSHD na systemie Windows umożliwia uwierzytelnionemu zdalnemu użytkownikowi dostęp do repozytoriów git poza skonfigurowanym katalogiem głównym serwera. Poprawka z CVE-2026-48827 była częściowo nieskuteczna na Windows.
- CVE-2026-56452Wysokie
Podatność typu path traversal w komponencie sshd-scp biblioteki Apache MINA SSHD. Złośliwy nadawca może wysłać nazwy plików zawierające ścieżki, co pozwala na zapis plików w dowolnej lokalizacji. Dotyczy aplikacji używających SCP do odbierania plików.
- CVE-2026-48827Wysokie
Podatność na przechodzenie po ścieżkach (path traversal) w Apache MINA SSHD bundle sshd-git. Brak walidacji ścieżki w operacjach git pozwala uwierzytelnionym użytkownikom SSH na dostęp do repozytoriów git poza skonfigurowanym katalogiem głównym serwera git.
Oryginalny opis (angielski, źródło NVD)
Class org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider in Apache MINA SSHD <= 2.9.1 uses Java deserialization to load a serialized java.security.PrivateKey. The class is one of several implementations that an implementor using Apache MINA SSHD can choose for loading the host keys of an SSH server.