CVE-2026-93995 in MINA SSHD
Zusammenfassung
von VulDB • 30.09.2026
Unzulässige Eingabevalidierung in sshd-git von Apache MINA SSHD, Versionen bis einschließlich 2.19.0 sowie 3.0.0-M1 bis 3.0.0-M5. Apache MINA SSHD ist eine Java-Bibliothek für die Client- und Serverseite von SSH.
Die Komponente org.apache.sshd:sshd-git stellt über die Klasse GitPgmCommandFactory einen Weg bereit, um einen Apache MINA SSHD-Server so zu konfigurieren, dass authentifizierte SSH-Clients remote git-Befehle über die JGit-Bibliothek auf auf dem Server gespeicherten Git-Repositories ausführen können. In CVE-2026-58624 wurde dieser Mechanismus auf nur wenige git-Befehle beschränkt, darunter „git archive“ ohne Optionen wie „--output“ oder „-o“, sodass das resultierende Archiv nicht auf dem Server geschrieben, sondern stattdessen über die SSH-Verbindung an den Client zurückgesendet wird.
Die für CVE-2026-58624 durchgeführte Korrektur war unzureichend, da sie es versäumte, die Version des Befehlsparameters mit einem einzelnen Argument „-o=file.zip“ aus dem Befehl „archive“ zu entfernen.
Benutzern wird empfohlen, auf die Versionen 2.20.0 oder 3.0.0-M6 upzudaten, welche dieses Problem beheben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.