CVE-2026-77185

Apache MINA SSHD'nin 2.0.0 ile 2.19.0 ve 3.0.0-M1 ile 3.0.0-M5 sürümlerindeki sshd-core bileşeninde, bir SSH sunucusunun uygulanışındaki belirli (nadir olduğu varsayılan) bir yöntem nedeniyle kimlik doğrulama atlatma zafiyeti bulunmaktadır. Apache MINA SSHD, istemci ve sunucu tarafı SSH için bir Java kütüphanesidir. Kütüphanenin sunucu kısmında, "asenkron kimlik doğrulama" gerçekleştirmek için bir mekanizma mevcuttur. Apache MINA SSHD ile uygulanan bir sunucunun bu özelliği kullanabilmesi için açıkça kod içermesi gerekir. Bu özelliğin uygulaması hatalıdır ve potansiyel olarak genel anahtar (public-key) veya ana bilgisayar tabanlı (hostbased) kimlik doğrulamada imza kontrolünün atlanmasına veya yanlış sonuç döndürülmesine yol açabilir. Kullanıcıların, mantık hatasını gideren ve ek olarak bu "asenkron kimlik doğrulama" mekanizmasının genel anahtar veya ana bilgisayar tabanlı kimlik doğrulama şemalarıyla kullanımını yasaklayan Apache MINA SSHD 2.20.0 veya 3.0.0-M6 sürümüne yükseltmeleri önerilir: Kullanılması durumunda SSH oturumu kapatılacak ve sunucu, asenkron kimlik doğrulamanın yalnızca parola veya klavye etkileşimli (keyboard-interactive) kimlik doğrulama ile kullanılabileceğini belirten bir kayıt oluşturacaktır.