CVE-2022-45047

Krytyczne

Opublikowano: 16/11/2022(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Klasa org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider w Apache MINA SSHD w wersjach do 2.9.1 wykorzystuje deserializację Java do ładowania zserializowanego obiektu java.security.PrivateKey. Jest to jedna z kilku implementacji, które mogą być używane do ładowania kluczy hosta serwera SSH.

Ocena ryzyka

Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do kluczy prywatnych, co zagraża bezpieczeństwu serwera SSH oraz danych w nim przechowywanych.

Rekomendacja

Zaleca się aktualizację Apache MINA SSHD do wersji nowszej niż 2.9.1, aby wyeliminować ryzyko związane z deserializacją obiektów.

Oryginalny opis (angielski, źródło NVD)

Class org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider in Apache MINA SSHD <= 2.9.1 uses Java deserialization to load a serialized java.security.PrivateKey. The class is one of several implementations that an implementor using Apache MINA SSHD can choose for loading the host keys of an SSH server.