CVE-2026-58624 in MINA SSHD
要約
〜によって VulDB • 2026年07月20日
Apache MINA SSHDのsshd-gitにおける不適切な入力検証。Apache MINA SSHDは、クライアント側およびサーバー側のSSH用のJavaライブラリです。
org.apache.sshd:sshd-gitコンポーネントは、GitPgmCommandFactoryを介して、SSHクライアントがサーバー上に保存されたgitリポジトリ上でJGitライブラリ経由でgitコマンドをリモート実行できるようにするApache MINA SSHDサーバーの設定方法を提供します。
このGitPgmCommandFactoryにより、SSHを通じて認証されたユーザーは、任意の場所にファイルを書き込む可能性のあるコマンド（例えば--outputオプション付きのgit archiveなど）を含む、利用可能なすべてのJGitコマンドを実行できました。
影響を受けるのは、Apache MINA SSHDを使用して実装され、GitPgmCommandFactoryを使用しているSSHサーバーです。GitPgmCommandFactoryがサーバーで構成されていない場合、そのサーバーは影響を受けません。
この問題を修正するには、関連するサーバーをApache MINA SSHD 2.19.0または3.0.0-M5にアップグレードすることを推奨します。
本問題は、利用可能なコマンドを限られた無害なコマンドのホワイトリスト（git logなど）に制限することで修正されました。git archiveも許可されますが、その--output引数は無視され、アーカイブは常にSSHチャネル経由でクライアントへ送信されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.