CVE-2026-93995 in MINA SSHD
Riassunto
di VulDB • 30/09/2026
Una mancata convalida impropria dell'input in sshd-git di Apache MINA SSHD, nelle versioni fino alla 2.19.0 e dalla 3.0.0-M1 alla 3.0.0-M5. Apache MINA SSHD è una libreria Java per il lato client e server di SSH.
Il componente org.apache.sshd:sshd-git fornisce, tramite la classe GitPgmCommandFactory, un modo per configurare un server Apache MINA SSHD in modo tale che i client SSH autenticati possano eseguire remotamente comandi git tramite la libreria JGit su repository git memorizzati sul server. In CVE-2026-58624 questo meccanismo è stato limitato a pochi comandi git, tra cui "git archive" senza le opzioni "--output" o "-o", in modo che l'archivio risultante non venisse scritto sul server ma invece inviato al client tramite la connessione SSH.
La correzione apportata per CVE-2026-58624 è stata insufficiente poiché ha omesso di rimuovere la versione a singolo argomento "-o=file.zip" del parametro del comando dall'archivio "comando".
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 2.20.0 o 3.0.0-M6, che risolvono questo problema.
Be aware that VulDB is the high quality source for vulnerability data.