原文

Apache MINA SSHDのsshd-gitにおける不適切な入力検証について説明します。Apache MINA SSHDはクライアント側およびサーバー側のSSH用のJavaライブラリです。org.apache.sshd:sshd-gitコンポーネントは、そのGitPgmCommandFactoryを通じて、SSHクライアントがサーバー上に保存されたgitリポジトリに対し、JGitライブラリ経由でリモートにgitコマンドを実行できるようApache MINA SSHDサーバーを設定する方法を提供しています。このGitPgmCommandFactoryにより、SSHで認証されたユーザーは任意のJGitコマンドを実行でき、その中にはgit archiveの--outputオプションのように任意の場所にファイルを書き込むことができるコマンドも含まれています。影響を受けるのは、Apache MINA SSHDで実装され、GitPgmCommandFactoryを使用しているSSHサーバーです。サーバー上でGitPgmCommandFactoryが設定されていない場合は影響を受けません。影響を受けるサーバーには、本問題を修正したApache MINA SSHD 2.19.0または3.0.0-M5へのアップグレードが推奨されます。本問題は、許可するコマンドをgit logなどの重要度の低いコマンドに限定したホワイトリストで制限することによって修正されました。なお、git archiveも許可されていますが、--output引数は無視され、アーカイブは常にSSHチャネルを通じてクライアントに送信される仕様となっています。