CVE-2026-56624

Apache MINA SSHD'de (sunucu tarafı) hatalı sertifika doğrulaması. Apache MINA SSHD, istemci ve sunucu tarafı SSH için bir Java kütüphanesidir. Bir Apache MINA SSHD sunucusunda, kullanıcı kimlik doğrulaması sırasında gerçekleştirilen sunucu tarafı OpenSSH kullanıcı sertifikası doğrulaması; sertifikaya gömülmüş olabilecek desteklenmeyen force-command veya verify-required seçeneklerini kontrol etmemekte ve bu seçenekleri doğrulamamaktaydı. Sonuç olarak, bir kullanıcının force-command seçeneği içeren böyle bir sertifika ile kimlik doğrulaması yapabilmesi ancak yine de diğer komutları çalıştırabilmesi mümkündü. Kullanıcının tam olarak hangi diğer komutlara erişebileceği, sunucunun uygulamasına bağlıdır. Bu sorun Apache MINA SSHD 2.19.0 ve 3.0.0-M5 sürümlerinde düzeltilmiştir. Uygulamaların bu sürümlere yükseltmeleri önerilir. Yapılan düzeltme, bu seçenekleri içeren OpenSSH kullanıcı sertifikalarını reddeder; çünkü Apache MINA SSHD ne force-command özelliğini ne de (verify-required seçeneğinin anlamlı olduğu tek tür olan) sk-*[email protected] kullanıcı sertifikalarını desteklemektedir.