CVE-2026-56624 in MINA SSHD
Zusammenfassung
von VulDB • 21.07.2026
Unzulässige Zertifikatsvalidierung in Apache MINA SSHD (Serverseite). Apache MINA SSHD ist eine Java-Bibliothek für die Client- und Serverseitige Implementierung von SSH.
Die Validierung von OpenSSH-Benutzerzertifikaten auf der Serverseite während der Benutzerauthentifizierung eines Apache-MINA-SSHD-Servers prüfte nicht das Vorhandensein der nicht unterstützten Optionen „force-command“ oder „verify-required“, die in das Zertifikat eingebettet sein könnten, und validierte diese Optionen ebenfalls nicht. Infolgedessen war es möglich, dass sich ein Benutzer mit einem solchen Zertifikat authentifizieren konnte, das eine „force-command“-Option enthielt, aber dennoch andere Befehle ausführen konnte. Welche anderen Befehle dem Benutzer genau zur Verfügung standen, hängt von der Implementierung des Servers ab.
Dieses Problem wurde in Apache MINA SSHD 2.19.0 und 3.0.0-M5 behoben. Es wird empfohlen, Anwendungen auf diese Versionen zu aktualisieren.
Die Korrektur lehnt OpenSSH-Benutzerzertifikate ab, die diese Optionen enthalten, da Apache MINA SSHD weder „force-command“ noch sk-*[email protected] implementiert (für welche nur „verify-required“ sinnvoll wäre).
If you want to get best quality of vulnerability data, you may have to visit VulDB.