CVE-2026-58624 in MINA SSHD
Tóm tắt
Bởi VulDB • 21/07/2026
Việc xác thực đầu vào không đúng cách trong sshd-git của Apache MINA SSHD. Apache MINA SSHD là một thư viện Java dành cho phía máy khách và phía máy chủ SSH.
Thành phần org.apache.sshd:sshd-git cung cấp, thông qua GitPgmCommandFactory của nó, một cách để cấu hình máy chủ Apache MINA SSHD sao cho các máy khách SSH có thể thực thi từ xa các lệnh git thông qua thư viện JGit trên các kho lưu trữ git được lưu trữ trên máy chủ.
GitPgmCommandFactory này cho phép người dùng đã xác thực qua SSH chạy bất kỳ lệnh JGit nào khả dụng, bao gồm cả các lệnh có thể ghi tệp vào các vị trí tùy ý như `git archive` với tùy chọn `--output`.
Các máy chủ SSH được triển khai bằng Apache MINA SSHD và sử dụng GitPgmCommandFactory bị ảnh hưởng. Nếu GitPgmCommandFactory không được cấu hình trên máy chủ, thì máy chủ đó không bị ảnh hưởng.
Khuyến nghị là nâng cấp các máy chủ bị ảnh hưởng lên phiên bản Apache MINA SSHD 2.19.0 hoặc 3.0.0-M5, vốn đã khắc phục sự cố này.
Sự cố được sửa bằng cách hạn chế các lệnh khả dụng chỉ còn một danh sách trắng nhỏ gồm các lệnh không quan trọng (chẳng hạn như `git log`). Lệnh `git archive` vẫn được cho phép, nhưng đối số `--output` của nó bị bỏ qua và kho lưu trữ luôn được gửi qua kênh SSH đến máy khách.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.