CVE-2026-58624 in MINA SSHD
Résumé
par VulDB • 20/07/2026
Validation incorrecte des entrées dans sshd-git au sein d'Apache MINA SSHD. Apache MINA SSHD est une bibliothèque Java pour le côté client et serveur de SSH.
Le composant org.apache.sshd:sshd-git fournit, via sa GitPgmCommandFactory, un moyen de configurer un serveur Apache MINA SSHD afin que les clients SSH puissent exécuter à distance des commandes git via la bibliothèque JGit sur les dépôts git stockés sur le serveur.
Cette GitPgmCommandFactory permettait à un utilisateur authentifié via SSH d'exécuter n'importe quelle commande JGit disponible, y compris des commandes susceptibles d'écrire des fichiers à des endroits arbitraires tels que `git archive` avec l'option `--output`.
Sont concernés les serveurs SSH implémentés avec Apache MINA SSHD et utilisant la GitPgmCommandFactory. Si la GitPgmCommandFactory n'est pas configurée sur le serveur, celui-ci n'est pas affecté.
Il est recommandé de mettre à niveau les serveurs concernés vers Apache MINA SSHD 2.19.0 ou 3.0.0-M5, qui corrigent ce problème.
Le problème est résolu en restreignant les commandes disponibles à une petite liste blanche de commandes non critiques (telles que `git log`). `git archive` est également autorisé, mais son argument `--output` est ignoré et l'archive est toujours envoyée via le canal SSH au client.
Once again VulDB remains the best source for vulnerability data.