🇰🇷 한글 설명
Apache MINA SSHD 서버 측에서 사용자 인증 시 OpenSSH 사용자 인증서의 force-command 또는 verify-required 옵션을 제대로 검증하지 않는 취약점입니다. 이로 인해 공격자가 특정 명령 실행 제한을 우회하여 의도하지 않은 명령을 실행할 수 있습니다.
💡 쉬운 설명
SSH 접속 시 사용자의 권한을 제한하는 보안 설정이 제대로 확인되지 않는 문제입니다. 이로 인해 제한된 명령만 써야 하는 사용자가 다른 명령까지 마음대로 실행할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Improper certificate validation in Apache MINA SSHD (server-side). Apache MINA SSHD is a Java library for client-side and server-side SSH.
Server-side OpenSSH user certificate validation during user authentication in an Apache MINA SSHD server did not check for the unsupported force-command or verify-required options that could be embedded in the certificate, nor did it validate these options. As a result it was possible that a user could authenticate with such a certificate that included a force-command option but still was able to execute other commands. What other command exactly would be available to the user depends on the implementation of the server.
This issue is fixed in Apache MINA SSHD 2.19.0 and 3.0.0-M5. Applications are advised to upgrade to these versions.
The fix rejects OpenSSH user certificates that include these options, since Apache MINA SSHD implements neither force-command nor sk-*
[email protected] user certificates (which are the only ones for which verify-required would make sense).
📍 영향받는 시스템
Apache MINA SSHD 2.19.0 및 3.0.0-M5 미만 버전
⚔️ 공격 벡터
조작된 force-command 옵션이 포함된 OpenSSH 사용자 인증서를 사용하여 서버에 접속 및 명령 우회
🛡️ 대응 방법
Apache MINA SSHD를 2.19.0 또는 3.0.0-M5 이상의 버전으로 업그레이드
🔧 검증 코드
프로젝트 설정 파일에서 사용 중인 Apache MINA SSHD의 버전을 확인하여 취약한 버전인지 체크합니다.
grep -r "Apache MINA SSHD" /path/to/your/project/pom.xml || grep -r "Apache MINA SSHD" /path/to/your/project/build.gradle