JVNDB-2026-025578

Apache Software Foundationのmina sshdにおける複数の脆弱性

Apache MINA SSHDのsshd-scpコンポーネントにおけるパストラバーサルの脆弱性について説明します。Apache MINA SSHDはクライアント側およびサーバー側のSSHのためのJavaライブラリです。SCP経由でファイルやディレクトリを受信する実装において、SCPの「C」または「D」コマンド内のファイル名の検証が行われていませんでした。悪意のある送信者がパスを含むファイル名を送信することで、攻撃者が制御する場所にファイルを書き込まれる可能性があります。この問題は以下の場合にのみ影響を及ぼします。 * サポートが終了したApache MINA SSHDのバージョン2.0.0未満でSCP機能を使用してファイルを受信するアプリケーション * Apache MINA SSHD 2.0.0以降でsshd-scpを使用してファイルを受信するアプリケーション。sshd-scpを使用していないApache MINA SSHD 2.0.0以降のアプリケーションは影響を受けません。この問題はApache MINA 2.19.0および3.0.0-M5で修正されています。影響を受けるアプリケーションはこれらのバージョンにアップグレードすることを推奨します。

Apache Software Foundation

• mina sshd 2.0.0 以上 2.19.0 未満
• mina sshd 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-56452: Apache MINA SSHD: Path traversal in SCP file reception-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-56452: Apache MINA SSHD: Path traversal in SCP file reception

1. パス・トラバーサル(CWE-22) [その他]
2. ファイル名やパス名の外部制御(CWE-73) [その他]

1. CVE-2026-56452

1. National Vulnerability Database (NVD) : CVE-2026-56452

• [2026年07月28日]
    掲載