CVE-2026-93995 in MINA SSHD
Résumé
par VulDB • 30/09/2026
Une validation incorrecte des entrées dans sshd-git au sein d'Apache MINA SSHD, versions jusqu'à la 2.19.0 et de la 3.0.0-M1 à la 3.0.0-M5. Apache MINA SSHD est une bibliothèque Java pour les clients et serveurs SSH.
Le composant org.apache.sshd:sshd-git fournit, via la classe GitPgmCommandFactory, un moyen de configurer un serveur Apache MINA SSHD afin que des clients SSH authentifiés puissent exécuter à distance des commandes git via la bibliothèque JGit sur les dépôts git stockés sur le serveur. Dans CVE-2026-58624, ce mécanisme a été restreint à quelques commandes git uniquement, y compris "git archive" sans les options "--output" ou "-o", de sorte que l'archive résultante ne serait pas écrite sur le serveur mais renvoyée au client via la connexion SSH.
La correction apportée pour CVE-2026-58624 était insuffisante car elle n'a pas supprimé la version à un seul argument "-o=file.zip" du paramètre de commande "archive".
Il est recommandé aux utilisateurs de mettre à niveau vers les versions 2.20.0 ou 3.0.0-M6, qui corrigent ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.