CVE-2026-77185

Apache MINA SSHD versiyaları 2.0.0-dan 2.19.0-a və 3.0.0-M1-dən 3.0.0-M5-ə qədər olan sshd-core komponentində, SSH serverinin tətbiq edilməsinin müəyyən (nadir olduğu ehtimal edilən) bir yolu üçün autentifikasiyadan yan keçmə boşluğu mövcuddur. Apache MINA SSHD klient və server tərəfli SSH üçün Java kitabxanasıdır. Kitabxananın server hissəsində "asinxron autentifikasiya" həyata keçirmək üçün mexanizm mövcuddur. Apache MINA SSHD ilə tətbiq edilmiş server bu funksiyadan istifadə etmək üçün açıq şəkildə kod daxil etməlidir. Bu funksiyanın tətbiqi qüsurlu idi və potensial olaraq public-key və ya hostbased autentifikasiyasında imzanın yoxlanılmasının ötürülməsinə və ya yanlış nəticənin qaytarılmasına səbəb ola bilərdi. İstifadəçilərə məntiq xətasını aradan qaldıran və əlavə olaraq bu "asinxron autentifikasiya" mexanizminin public-key və ya hostbased autentifikasiya sxemləri ilə istifadəsini qadağan edən Apache MINA SSHD 2.20.0 və ya 3.0.0-M6 versiyalarına yüksəltmə etmək tövsiyə olunur: istifadə edildikdə, SSH sessiyası bağlanacaq və server asinxron autentifikasiyanın yalnız parol və ya keyboard-interactive autentifikasiyası ilə istifadə edilə biləcəyini göstərən qeyd yazacaqdır.