CVE-2026-93995
ŚrednieCVSS 6.5Streszczenie
W Apache MINA SSHD w wersjach do 2.19.0 oraz 3.0.0-M1 do 3.0.0-M5, komponent sshd-git ma nieprawidłową walidację wejścia. Poprawka dla CVE-2026-58624 była niewystarczająca, ponieważ nie usunięto wersji parametru "-o=file.zip" z komendy "archive". Uwierzytelnieni klienci SSH mogą zdalnie wykonywać komendy git, w tym zapisywać archiwa na serwerze.
Ocena ryzyka
Uwierzytelniony atakujący może zapisywać pliki na serwerze, co może prowadzić do nieautoryzowanych zmian w repozytoriach git lub potencjalnie do dalszych ataków.
Rekomendacja
Zaktualizuj Apache MINA SSHD do wersji 2.20.0 lub 3.0.0-M6, które zawierają pełną poprawkę. Dodatkowo ogranicz uprawnienia do wykonywania komend git i monitoruj aktywność SSH.
Inne podatności w Apache MINA SSHD
Zobacz wszystkie- CVE-2026-94029Średnie
W Apache MINA SSHD w wersjach 1.0.0 do 2.19.0 oraz 3.0.0-M1 do 3.0.0-M5, komponent sshd-sftp w rozszerzeniu SFTP v6 check-file-name/check-file-handle jest podatny na wyczerpanie pamięci po stronie serwera. Użycie bardzo małego rozmiaru bloku (np. 256) na ogromnym pliku generuje wiele skrótów, a odpowiedź SFTP jest gromadzona w pamięci, co może doprowadzić do awarii serwera.
- CVE-2026-94002Wysokie
W komponencie sshd-sftp w Apache MINA SSHD możliwe jest wyczerpanie pamięci w klientach SFTP (DefaultSftpClient). Implementacja klienta SFTP nie sprawdzała, czy otrzymana odpowiedź odpowiada wcześniej wysłanemu żądaniu, co powodowało przechowywanie niechcianych odpowiedzi bez ich konsumpcji. Złośliwy serwer może wysyłać takie odpowiedzi, aż do wyczerpania pamięci klienta.
- CVE-2026-93996Średnie
W Apache MINA SSHD w wersjach do 2.19.0 oraz 3.0.0-M1 do 3.0.0-M5, komponent ssd-scp jest podatny na niekontrolowane zużycie zasobów. Protokół SCP jest liniowy, a handler nie nakładał limitu na długość linii. Złośliwy peer wysyłający niekończącą się sekwencję znaków bez LF może spowodować alokację pamięci i awarię aplikacji z powodu OutOfMemoryError.
- CVE-2026-93994Wysokie
Apache MINA SSHD umożliwia częściowe obejście uwierzytelniania wieloskładnikowego. Gdy serwer SSH jest skonfigurowany do wymagania dwóch różnych kluczy publicznych, kod serwera w komponencie sshd-core nie egzekwuje, aby prezentowane klucze były różne. Użytkownik może pomyślnie uwierzytelnić się, prezentując ten sam klucz dwukrotnie.
- CVE-2026-94053Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania przez wstrzyknięcie LDAP w komponencie sshd-ldap biblioteki Apache MINA SSHD. Brak odpowiedniego escapowania znaków specjalnych filtrów LDAP pozwala na uwierzytelnienie z nazwą użytkownika "*" i hasłem "*".
- CVE-2026-94052Krytyczne
Brak sprawdzenia w LdapPasswordAuthenticator w komponencie sshd-ldap biblioteki Apache MINA SSHD umożliwia ominięcie kontroli uwierzytelniania. Podatność dotyczy tylko serwerów używających LdapPasswordAuthenticator do uwierzytelniania hasłem.
- CVE-2026-77185Krytyczne
Podatność umożliwiająca ominięcie uwierzytelniania w sshd-core biblioteki Apache MINA SSHD. Błąd w implementacji mechanizmu "asynchronicznego uwierzytelniania" może prowadzić do pominięcia sprawdzenia podpisu w uwierzytelnianiu kluczem publicznym lub hostbased, lub zwrócenia błędnego wyniku.
- CVE-2022-45047Krytyczne
Klasa org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider w Apache MINA SSHD w wersjach do 2.9.1 wykorzystuje deserializację Java do ładowania zserializowanego obiektu java.security.PrivateKey. Jest to jedna z kilku implementacji, które mogą być używane do ładowania kluczy hosta serwera SSH.
- CVE-2026-58624Średnie
Podatność w Apache MINA SSHD (komponent sshd-git) pozwala uwierzytelnionemu użytkownikowi SSH na wykonywanie dowolnych komend JGit, w tym zapis plików w dowolnej lokalizacji przez `git archive --output`.
- CVE-2026-56624Wysokie
Nieprawidłowa walidacja certyfikatów w Apache MINA SSHD (strona serwera). Serwer nie sprawdzał opcji force-command ani verify-required w certyfikatach OpenSSH, co pozwalało uwierzytelnionemu użytkownikowi na wykonanie innych poleceń niż określone w certyfikacie. Luka naprawiona w wersjach 2.19.0 i 3.0.0-M5.
Oryginalny opis (angielski, źródło NVD)
Improper input validation in sshd-git in Apache MINA SSHD, versions up to 2.19.0 and 3.0.0-M1 to 3.0.0-M5. Apache MINA SSHD is a Java library for client-side and server-side SSH. Component org.apache.sshd:sshd-git provides though class GitPgmCommandFactory a way to configure an Apache MINA SSHD server such that authenticated SSH clients can remotely execute git commands via the JGit library on git repositories stored on the server. In CVE-2026-58624 this mechanism was restricted to only a few git commands, including "git archive" without "--output" or "-o" options such that the resulting archive would not be written on the server but instead sent back to the client over the SSH connection. The fix done for CVE-2026-58624 was insufficient as it missed removing the single-argument "-o=file.zip" version of the command parameter from the "archive" command. Users are recommended to upgrade to version 2.20.0 or 3.0.0-M6, which fix this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS