CVE-2026-94029
Açıklama
Apache MINA SSHD 1.0.0 ile 2.19.0 ve 3.0.0-M1 ile 3.0.0-M5 sürümlerinde, sshd-sftp bileşenindeki SFTP v6 check-file-name/check-file-handle uzantısında sunucu tarafında bellek tükenmesi sorunu bulunmaktadır. Apache MINA SSHD, istemci ve sunucu tarafı SSH için bir Java kütüphanesidir. Çok büyük bir dosyada çok küçük bir "block size" (örneğin minimum olan 256) kullanılması, çok sayıda (dosya boyutu / blok boyutu) özet (hash) oluşturur. Ortaya çıkan SFTP yanıt mesajı sunucu tarafında tamamen bellekte biriktirilmekteydi; bu durum, uygun büyüklükteki (muhtemelen seyrek/sparse) bir dosya ile sunucu tarafındaki belleği tüketerek sunucunun çökmesine neden olabilirdi. Kullanıcıların, yanıtlara maksimum boyut sınırı getirerek bu sorunu gideren 2.20.0 veya 3.0.0-M6 sürümüne yükseltmeleri önerilir. Birçok SFTP uygulaması zaten SFTP mesajlarının boyutuna genel bir sınır getirmektedir; tipik olarak OpenSSH'ta olduğu gibi veya Apache MINA SSHD'de olduğu gibi 256kB'dır.
Nasıl düzeltilir
- Apache Software Foundation Apache MINA SSHD2.20.0, 3.0.0-M6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache MINA SSHD | 1.0.0 ≤ v < 2.20.0, 3.0.0-M1 ≤ v < 3.0.0-M6 | 2.20.0, 3.0.0-M6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.