JVNDB-2026-017755

Apache Software Foundationのmina sshdにおけるパストラバーサルの脆弱性

Apache MINA SSHD バンドルの sshd-git におけるパス・トラバーサルの脆弱性です。git-upload-pack、git-receive-pack およびその他の git 操作においてパス検証が欠如しているため、SSH 経由で認証されたユーザーが設定された git サーバールートディレクトリ外の git リポジトリにアクセスできてしまいます。org.apache.sshd:sshd-git を使用しているアプリケーションが影響を受けますが、sshd-git を使用していないアプリケーションは影響を受けません。影響を受けるアプリケーションは、この問題を修正した Apache MINA SSHD 2.18.0 へのアップグレードが推奨されます。この問題は、新しいメジャーバージョン 3.0.0 のプレリリース段階（3.0.0-M1 から 3.0.0-M3）にも存在します。ここでも sshd-git を使用している場合のみ影響を受けるため、影響を受けるアプリケーションは 3.0.0-M4 へアップグレードしてください。なお、プロフェッショナルな git サーバーはファイルシステムのレイアウトや権限のみに依存すべきではなく、git リポジトリや特定の git 操作へのアクセスを管理する追加のセキュリティ制御を実装する必要があることを指摘します。

Apache Software Foundation

• mina sshd 2.0.0 以上 2.18.0 未満
• mina sshd 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-48827: Apache MINA SSHD: Path traversal in org.apache.sshd:sshd-git-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-48827: Apache MINA SSHD: Path traversal in org.apache.sshd:sshd-git

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-48827

1. National Vulnerability Database (NVD) : CVE-2026-48827

• [2026年06月04日]
    掲載