CVE-2026-58624 in MINA SSHD
요약
\~에 의해 VulDB • 2026. 07. 21.
Apache MINA SSHD의 sshd-git에서 부적절한 입력 검증이 발견되었습니다. Apache MINA SSHD는 클라이언트 측 및 서버 측 SSH를 위한 Java 라이브러리입니다.
org.apache.sshd:sshd-git 컴포넌트는 GitPgmCommandFactory를 통해 Apache MINA SSHD 서버를 구성할 수 있는 방법을 제공하며, 이를 통해 SSH 클라이언트가 서버에 저장된 git 리포지토리에서 JGit 라이브러리를 사용하여 원격으로 git 명령을 실행할 수 있습니다.
이 GitPgmCommandFactory는 SSH를 통해 인증된 사용자가 임의의 위치에 파일을 작성할 수 있는 명령(예: --output 옵션과 함께 사용되는 git archive)을 포함하여 사용 가능한 모든 JGit 명령을 실행할 수 있게 허용했습니다.
Apache MINA SSHD로 구현되고 GitPgmCommandFactory를 사용하는 SSH 서버가 영향을 받습니다. 만약 서버에 GitPgmCommandFactory가 구성되어 있지 않다면 해당 서버는 영향받지 않습니다.
이 문제를 해결하려면 Apache MINA SSHD 2.19.0 또는 3.0.0-M5 버전으로 업그레이드하는 것이 권장됩니다. 이 문제의 수정 방법은 사용 가능한 명령을 git log와 같은 제한된 수의 비위험적 명령 목록(화이트리스트)로 제한함으로써 이루어집니다. git archive도 허용되지만, --output 인수는 무시되며 아카이브는 항상 SSH 채널을 통해 클라이언트로 전송됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.