CVE-2026-58624

Apache MINA SSHD içerisindeki sshd-git bileşeninde hatalı girdi doğrulaması bulunmaktadır. Apache MINA SSHD, istemci ve sunucu tarafı SSH için bir Java kütüphanesidir. org.apache.sshd:sshd-git bileşeni, GitPgmCommandFactory aracılığıyla, SSH istemcilerinin sunucuda depolanan git depoları üzerinde JGit kütüphanesi vasıtasıyla uzaktan git komutlarını çalıştırabileceği şekilde bir Apache MINA SSHD sunucusunu yapılandırmanın yolunu sağlar. Bu GitPgmCommandFactory, SSH üzerinden kimliği doğrulanmış bir kullanıcının, --output seçeneği ile git archive gibi dosyaları rastgele konumlara yazabilen komutlar da dahil olmak üzere mevcut tüm JGit komutlarını çalıştırmasına izin vermekteydi. Apache MINA SSHD ile uygulanmış ve GitPgmCommandFactory kullanan SSH sunucuları etkilenmektedir. Sunucuda GitPgmCommandFactory yapılandırılmamışsa, sunucu etkilenmez. Etkilenen sunucuların, bu sorunu gideren Apache MINA SSHD 2.19.0 veya 3.0.0-M5 sürümlerine yükseltilmesi önerilir. Sorun, kullanılabilir komutların kritik olmayan küçük bir beyaz listeyle (örneğin git log) sınırlandırılmasıyla giderilmiştir. git archive komutuna da izin verilmekte ancak --output argümanı yoksayılmakta ve arşiv her zaman SSH kanalı üzerinden istemciye gönderilmektedir.