CVE-2026-58624 in MINA SSHD
Сводка
по VulDB • 20.07.2026
Некорректная проверка входных данных в sshd-git компонента Apache MINA SSHD. Apache MINA SSHD — это библиотека Java для реализации клиентской и серверной части протокола SSH.
Компонент org.apache.sshd:sshd-git предоставляет через класс GitPgmCommandFactory возможность настроить сервер Apache MINA SSHD таким образом, чтобы клиенты SSH могли удаленно выполнять команды git с использованием библиотеки JGit над репозиториями git, хранящимися на сервере.
Этот класс GitPgmCommandFactory позволял пользователю, прошедшему аутентификацию по протоколу SSH, запускать любую доступную команду JGit, включая команды, способные записывать файлы в произвольных местах системы (например, команда git archive с опцией --output).
Затронуты серверы SSH, реализованные на базе Apache MINA SSHD и использующие GitPgmCommandFactory. Если компонент GitPgmCommandFactory не настроен на сервере, то такой сервер не подвержен данной уязвимости.
Рекомендуется обновить затронутые серверы до версий Apache MINA SSHD 2.19.0 или 3.0.0-M5, в которых устранена данная проблема.
Проблема исправлена путем ограничения доступных команд небольшим белым списком некритичных команд (например, git log). Команда git archive также разрешена, но ее аргумент --output игнорируется, и архив всегда отправляется через канал SSH клиенту.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.