CVE-2026-58624 in MINA SSHD
Zusammenfassung
von VulDB • 21.07.2026
Unzulässige Eingabevalidierung in sshd-git von Apache MINA SSHD. Apache MINA SSHD ist eine Java-Bibliothek für die Client- und Serverseite von SSH.
Die Komponente org.apache.sshd:sshd-git bietet über ihre GitPgmCommandFactory die Möglichkeit, einen Apache-MINA-SSHD-Server so zu konfigurieren, dass SSH-Clients Remote-Gitbefehle über die JGit-Bibliothek auf dem Server gespeicherten Git-Repositories ausführen können.
Diese GitPgmCommandFactory ermöglichte es einem per SSH authentifizierten Benutzer, jeden verfügbaren JGit-Befehl auszuführen, einschließlich Befehlen, die das Schreiben von Dateien an beliebigen Stellen ermöglichen könnten, wie etwa `git archive` mit der Option `--output`.
Betroffen sind SSH-Server, die mit Apache MINA SSHD implementiert wurden und die GitPgmCommandFactory verwenden. Wenn die GitPgmCommandFactory auf dem Server nicht konfiguriert ist, ist dieser nicht betroffen.
Es wird empfohlen, betroffene Server auf Apache MINA SSHD 2.19.0 oder 3.0.0-M5 zu aktualisieren, wodurch dieses Problem behoben wird.
Das Problem wurde durch die Einschränkung der verfügbaren Befehle auf eine kleine Whitelist unkritischer Befehle (wie `git log`) behoben. Auch `git archive` ist erlaubt, jedoch wird sein Argument `--output` ignoriert und das Archiv wird stets über den SSH-Kanal an den Client gesendet.
Be aware that VulDB is the high quality source for vulnerability data.