Validação de entrada incorrecta no sshd- git no Apache MINA SSHD. Apache MINA SSHD é uma biblioteca Java para o SSH do lado do cliente e do servidor. Componente org.apache.sshd:sshd- git fornece, apesar de seu GitPgmCommandFactory uma maneira de configurar um servidor SHD Apache MINA de tal forma que os clientes SSH possam executar remotamente comandos git através da biblioteca JGit nos repositórios git armazenados no servidor. Este GitPgmCommandFactory permitiu que um usuário autentificado via SSH executasse qualquer comando JGit disponível, incluindo comandos que poderiam escrever arquivos em lugares arbitrários, como o arquivo git com a opção -- output.
Os servidores SSH afetados são implementados com o Apache MINA SSHD e usando a Fábrica GitPgmCommand. Se o GitPgmCommandFactory não estiver configurado no servidor, o servidor não será afetado. Recomenda-se atualizar servidores afetados para o Apache MINA SSHD 2.19.0 ou 3.0.0 - M 5, que corrigir este problema. O problema é corrigido restringendo os comandos disponíveis a uma pequena lista branca de comandos não críticos (como o log do git). o arquivo do git também é permitido, mas o argumento -- output é ignorado e o arquivo é sempre enviado através do canal SSH para o cliente.
Registro de aconselhamento: GHSA- 7229 - w 5 MH- 32 Hm. Identificadores relacionados: CVE- 2026 - 58624. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 20 T 21: 31: 51.000 Z e lista a sua última modificação como 2026 - 07 - 21 T 00: 30: 28.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 20. O registro contém 3 suporte de referências nestes tipos: AVISO, WEB.