JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-025572 Apache MINA SSHDのsshd-gitにおける不適切な入力検証について説明します。Apache MINA SSHDはクライアント側およびサーバー側のSSH用のJavaライブラリです。org.apache.sshd:sshd-gitコンポーネントは、そのGitPgmCommandFactoryを通じて、SSHクライアントがサーバー上に保存されたgitリポジトリに対し、JGitライブラリ経由でリモートにgitコマンドを実行できるようApache MINA SSHDサーバーを設定する方法を提供しています。このGitPgmCommandFactoryにより、SSHで認証されたユーザーは任意のJGitコマンドを実行でき、その中にはgit archiveの--outputオプションのように任意の場所にファイルを書き込むことができるコマンドも含まれています。影響を受けるのは、Apache MINA SSHDで実装され、GitPgmCommandFactoryを使用しているSSHサーバーです。サーバー上でGitPgmCommandFactoryが設定されていない場合は影響を受けません。影響を受けるサーバーには、本問題を修正したApache MINA SSHD 2.19.0または3.0.0-M5へのアップグレードが推奨されます。本問題は、許可するコマンドをgit logなどの重要度の低いコマンドに限定したホワイトリストで制限することによって修正されました。なお、git archiveも許可されていますが、--output引数は無視され、アーカイブは常にSSHチャネルを通じてクライアントに送信される仕様となっています。 cpe:/a:apache:mina_sshd https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-025572.html Common Vulnerabilities and Exposures (CVE) CVE-2026-58624 https://www.cve.org/CVERecord?id=CVE-2026-58624 National Vulnerability Database (NVD) CVE-2026-58624 https://nvd.nist.gov/vuln/detail/CVE-2026-58624 Pony Mail CVE-2026-58624: Apache MINA SSHD: Remote execution of JGit commands can write files on the server-Apache Mail Archives https://lists.apache.org/thread/7c3cry6pdy6hj1q0f28rc72x4o4tlyjo JVNDB CWE-20 https://jvndb.jvn.jp/ja/cwe/CWE-20.html Openwall oss-security - CVE-2026-58624: Apache MINA SSHD: Remote execution of JGit commands can write files on the server http://www.openwall.com/lists/oss-security/2026/07/20/18 2026-07-28T18:10:44+09:00 2026-07-28T18:10:44+09:00