JVNDB-2026-025572

Apache Software Foundationのmina sshdにおける入力確認に関する脆弱性

Apache MINA SSHDのsshd-gitにおける不適切な入力検証について説明します。Apache MINA SSHDはクライアント側およびサーバー側のSSH用のJavaライブラリです。org.apache.sshd:sshd-gitコンポーネントは、そのGitPgmCommandFactoryを通じて、SSHクライアントがサーバー上に保存されたgitリポジトリに対し、JGitライブラリ経由でリモートにgitコマンドを実行できるようApache MINA SSHDサーバーを設定する方法を提供しています。このGitPgmCommandFactoryにより、SSHで認証されたユーザーは任意のJGitコマンドを実行でき、その中にはgit archiveの--outputオプションのように任意の場所にファイルを書き込むことができるコマンドも含まれています。影響を受けるのは、Apache MINA SSHDで実装され、GitPgmCommandFactoryを使用しているSSHサーバーです。サーバー上でGitPgmCommandFactoryが設定されていない場合は影響を受けません。影響を受けるサーバーには、本問題を修正したApache MINA SSHD 2.19.0または3.0.0-M5へのアップグレードが推奨されます。本問題は、許可するコマンドをgit logなどの重要度の低いコマンドに限定したホワイトリストで制限することによって修正されました。なお、git archiveも許可されていますが、--output引数は無視され、アーカイブは常にSSHチャネルを通じてクライアントに送信される仕様となっています。

Apache Software Foundation

• mina sshd 2.0.0 以上 2.19.0 未満
• mina sshd 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-58624: Apache MINA SSHD: Remote execution of JGit commands can write files on the server-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-58624: Apache MINA SSHD: Remote execution of JGit commands can write files on the server

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-58624

1. National Vulnerability Database (NVD) : CVE-2026-58624

• [2026年07月28日]
    掲載