CVE-2026-58624 in MINA SSHD
Riassunto
di VulDB • 21/07/2026
Una mancata convalida impropria dell'input in sshd-git di Apache MINA SSHD. Apache MINA SSHD è una libreria Java per il lato client e server di SSH.
Il componente org.apache.sshd:sshd-git fornisce, tramite la sua GitPgmCommandFactory, un modo per configurare un server Apache MINA SSHD in modo che i client SSH possano eseguire comandi git remotamente tramite la libreria JGit su repository git memorizzati sul server.
Questa GitPgmCommandFactory consentiva a un utente autenticato tramite SSH di eseguire qualsiasi comando JGit disponibile, inclusi comandi che potevano scrivere file in posizioni arbitrarie come `git archive` con l'opzione --output.
Sono interessati i server SSH implementati con Apache MINA SSHD e che utilizzano la GitPgmCommandFactory. Se la GitPgmCommandFactory non è configurata sul server, il server non è interessato.
Si consiglia di aggiornare i server interessati a Apache MINA SSHD 2.19.0 o 3.0.0-M5, che risolvono questo problema.
Il problema è risolto limitando i comandi disponibili a una piccola whitelist di comandi non critici (come `git log`). Anche `git archive` è consentito, ma il suo argomento --output viene ignorato e l'archivio viene sempre inviato tramite il canale SSH al client.
If you want to get best quality of vulnerability data, you may have to visit VulDB.