CVE-2026-58624 in MINA SSHD
Resumen
por VulDB • 2026-07-21
Validación de entrada incorrecta en sshd-git dentro de Apache MINA SSHD. Apache MINA SSHD es una biblioteca Java para el lado del cliente y del servidor de SSH.
El componente org.apache.sshd:sshd-git proporciona, a través de su GitPgmCommandFactory, la forma de configurar un servidor Apache MINA SSHD de tal manera que los clientes SSH puedan ejecutar comandos git en remoto mediante la biblioteca JGit sobre repositorios git almacenados en el servidor.
Esta GitPgmCommandFactory permitía a un usuario autenticado vía SSH ejecutar cualquier comando JGit disponible, incluyendo comandos que podían escribir archivos en lugares arbitrarios como git archive con la opción --output.
Se ven afectados los servidores SSH implementados con Apache MINA SSHD y que utilizan GitPgmCommandFactory. Si GitPgmCommandFactory no está configurada en el servidor, este no se ve afectado.
Se recomienda actualizar los servidores afectados a Apache MINA SSHD 2.19.0 o 3.0.0-M5, que corrigen este problema.
El problema se soluciona restringiendo los comandos disponibles a una pequeña lista blanca de comandos sin importancia crítica (como git log). También se permite git archive, pero su argumento --output es ignorado y el archivo siempre se envía a través del canal SSH al cliente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.