CVE-2026-56624
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Nieprawidłowa walidacja certyfikatów w Apache MINA SSHD (strona serwera). Serwer nie sprawdzał opcji force-command ani verify-required w certyfikatach OpenSSH, co pozwalało uwierzytelnionemu użytkownikowi na wykonanie innych poleceń niż określone w certyfikacie. Luka naprawiona w wersjach 2.19.0 i 3.0.0-M5.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia ograniczeń poleceń w certyfikatach, co może prowadzić do nieautoryzowanego wykonania poleceń na serwerze SSH.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache MINA SSHD do wersji 2.19.0 lub 3.0.0-M5.
Inne podatności w Apache MINA SSHD
Zobacz wszystkie- CVE-2026-94002Wysokie
W komponencie sshd-sftp w Apache MINA SSHD możliwe jest wyczerpanie pamięci w klientach SFTP (DefaultSftpClient). Implementacja klienta SFTP nie sprawdzała, czy otrzymana odpowiedź odpowiada wcześniej wysłanemu żądaniu, co powodowało przechowywanie niechcianych odpowiedzi bez ich konsumpcji. Złośliwy serwer może wysyłać takie odpowiedzi, aż do wyczerpania pamięci klienta.
- CVE-2026-93996Średnie
W Apache MINA SSHD w wersjach do 2.19.0 oraz 3.0.0-M1 do 3.0.0-M5, komponent ssd-scp jest podatny na niekontrolowane zużycie zasobów. Protokół SCP jest liniowy, a handler nie nakładał limitu na długość linii. Złośliwy peer wysyłający niekończącą się sekwencję znaków bez LF może spowodować alokację pamięci i awarię aplikacji z powodu OutOfMemoryError.
- CVE-2026-93995Średnie
W Apache MINA SSHD w wersjach do 2.19.0 oraz 3.0.0-M1 do 3.0.0-M5, komponent sshd-git ma nieprawidłową walidację wejścia. Poprawka dla CVE-2026-58624 była niewystarczająca, ponieważ nie usunięto wersji parametru "-o=file.zip" z komendy "archive". Uwierzytelnieni klienci SSH mogą zdalnie wykonywać komendy git, w tym zapisywać archiwa na serwerze.
- CVE-2026-93994Wysokie
Apache MINA SSHD umożliwia częściowe obejście uwierzytelniania wieloskładnikowego. Gdy serwer SSH jest skonfigurowany do wymagania dwóch różnych kluczy publicznych, kod serwera w komponencie sshd-core nie egzekwuje, aby prezentowane klucze były różne. Użytkownik może pomyślnie uwierzytelnić się, prezentując ten sam klucz dwukrotnie.
- CVE-2026-94053Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania przez wstrzyknięcie LDAP w komponencie sshd-ldap biblioteki Apache MINA SSHD. Brak odpowiedniego escapowania znaków specjalnych filtrów LDAP pozwala na uwierzytelnienie z nazwą użytkownika "*" i hasłem "*".
- CVE-2026-94052Krytyczne
Brak sprawdzenia w LdapPasswordAuthenticator w komponencie sshd-ldap biblioteki Apache MINA SSHD umożliwia ominięcie kontroli uwierzytelniania. Podatność dotyczy tylko serwerów używających LdapPasswordAuthenticator do uwierzytelniania hasłem.
- CVE-2026-77185Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania w sshd-core biblioteki Apache MINA SSHD. Błąd w implementacji mechanizmu "asynchronicznego uwierzytelniania" może prowadzić do pominięcia sprawdzenia podpisu w uwierzytelnianiu kluczem publicznym lub hostbased, lub zwrócenia błędnego wyniku.
- CVE-2022-45047Krytyczne
Klasa org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider w Apache MINA SSHD w wersjach do 2.9.1 wykorzystuje deserializację Java do ładowania zserializowanego obiektu java.security.PrivateKey. Jest to jedna z kilku implementacji, które mogą być używane do ładowania kluczy hosta serwera SSH.
- CVE-2026-94029Średnie
W Apache MINA SSHD w wersjach 1.0.0 do 2.19.0 oraz 3.0.0-M1 do 3.0.0-M5, komponent sshd-sftp w rozszerzeniu SFTP v6 check-file-name/check-file-handle jest podatny na wyczerpanie pamięci po stronie serwera. Użycie bardzo małego rozmiaru bloku (np. 256) na ogromnym pliku generuje wiele skrótów, a odpowiedź SFTP jest gromadzona w pamięci, co może doprowadzić do awarii serwera.
- CVE-2026-58624Średnie
Podatność w Apache MINA SSHD (komponent sshd-git) pozwala uwierzytelnionemu użytkownikowi SSH na wykonywanie dowolnych komend JGit, w tym zapis plików w dowolnej lokalizacji przez `git archive --output`.
Oryginalny opis (angielski, źródło NVD)
Improper certificate validation in Apache MINA SSHD (server-side). Apache MINA SSHD is a Java library for client-side and server-side SSH. Server-side OpenSSH user certificate validation during user authentication in an Apache MINA SSHD server did not check for the unsupported force-command or verify-required options that could be embedded in the certificate, nor did it validate these options. As a result it was possible that a user could authenticate with such a certificate that included a force-command option but still was able to execute other commands. What other command exactly would be available to the user depends on the implementation of the server. This issue is fixed in Apache MINA SSHD 2.19.0 and 3.0.0-M5. Applications are advised to upgrade to these versions. The fix rejects OpenSSH user certificates that include these options, since Apache MINA SSHD implements neither force-command nor sk-*[email protected] user certificates (which are the only ones for which verify-required would make sense).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS