CVE-2026-58624 in MINA SSHD
الملخص
بحسب VulDB • 20/07/2026
نقص في التحقق من صحة المدخلات في sshd-git ضمن Apache MINA SSHD. يُعد Apache MINA SSHD مكتبة جافا (Java) مخصصة لعملاء وخوادم بروتوكول SSH.
توفر المكوّن `org.apache.sshd:sshd-git`، عبر فئة `GitPgmCommandFactory` الخاصة به، طريقة لتكوين خادم Apache MINA SSHD بحيث يمكن للعملاء الذين يتصلون عبر SSH تنفيذ أوامر git عن بُعد باستخدام مكتبة JGit على مستودعات git المخزنة على الخادم.
كانت هذه الفئة (`GitPgmCommandFactory`) تتيح للمستخدم المصادق عليه عبر SSH تشغيل أي أمر متاح في مكتبة JGit، بما في ذلك الأوامر التي يمكنها كتابة الملفات في مواقع عشوائية، مثل الأمر `git archive` مع خيار الإخراج `--output`.
الخوادم المتأثرة هي خوادم SSH المُنفذة باستخدام Apache MINA SSHD وتستخدم فئة `GitPgmCommandFactory`. إذا لم تكن فئة `GitPgmCommandFactory` مُهيّئة على الخادم، فإن الخادم لا يتأثر.
يُوصى بترقية الخوادم المتأثرة إلى الإصدار 2.19.0 أو 3.0.0-M5 من Apache MINA SSHD، حيث يتم إصلاح هذه المشكلة في هذين الإصدارين.
تم حل المشكلة عن طريق تقييد الأوامر المتاحة على قائمة بيضاء صغيرة تحتوي على أوامر غير حرجة (مثل `git log`). كما يُسمح باستخدام الأمر `git archive`، لكن وسيطة الإخراج الخاصة به (`--output`) تُتجاهل، ويتم إرسال الأرشيف دائماً عبر قناة SSH إلى العميل.
Be aware that VulDB is the high quality source for vulnerability data.