CVE-2026-58624 in MINA SSHD
Sumário
de VulDB • 21/07/2026
Validação inadequada de entrada no sshd-git do Apache MINA SSHD. O Apache MINA SSHD é uma biblioteca Java para o lado do cliente e do servidor SSH.
O componente org.apache.sshd:sshd-git fornece, por meio do seu GitPgmCommandFactory, uma maneira de configurar um servidor Apache MINA SSHD de modo que clientes SSH possam executar remotamente comandos git através da biblioteca JGit em repositórios git armazenados no servidor.
Este GitPgmCommandFactory permitia que um usuário autenticado via SSH executasse qualquer comando JGit disponível, incluindo comandos que poderiam gravar arquivos em locais arbitrários, como o `git archive` com a opção `--output`.
São afetados os servidores SSH implementados com Apache MINA SSHD e que utilizam o GitPgmCommandFactory. Se o GitPgmCommandFactory não estiver configurado no servidor, ele não será afetado.
Recomenda-se atualizar os servidores afetados para as versões 2.19.0 ou 3.0.0-M5 do Apache MINA SSHD, que corrigem este problema.
O problema foi corrigido restringindo os comandos disponíveis a uma pequena lista branca (whitelist) de comandos não críticos (como `git log`). O comando `git archive` também é permitido, mas seu argumento `--output` é ignorado e o arquivo compactado (archive) é sempre enviado através do canal SSH para o cliente.
Be aware that VulDB is the high quality source for vulnerability data.