原文

Apache MINA SSHDのsshd-scpコンポーネントにおけるパストラバーサルの脆弱性について説明します。Apache MINA SSHDはクライアント側およびサーバー側のSSHのためのJavaライブラリです。SCP経由でファイルやディレクトリを受信する実装において、SCPの「C」または「D」コマンド内のファイル名の検証が行われていませんでした。悪意のある送信者がパスを含むファイル名を送信することで、攻撃者が制御する場所にファイルを書き込まれる可能性があります。この問題は以下の場合にのみ影響を及ぼします。 * サポートが終了したApache MINA SSHDのバージョン2.0.0未満でSCP機能を使用してファイルを受信するアプリケーション * Apache MINA SSHD 2.0.0以降でsshd-scpを使用してファイルを受信するアプリケーション。sshd-scpを使用していないApache MINA SSHD 2.0.0以降のアプリケーションは影響を受けません。この問題はApache MINA 2.19.0および3.0.0-M5で修正されています。影響を受けるアプリケーションはこれらのバージョンにアップグレードすることを推奨します。