🇰🇷 한글 설명
Apache MINA SSHD의 특정 버전에서 비동기 인증 메커니즘의 구현 결함으로 인해 인증 우회 취약점이 발견되었습니다. 이 결함은 공개키 또는 호스트 기반 인증 시 서명 확인을 건너뛰거나 잘못된 결과를 반환할 수 있습니다.
💡 쉬운 설명
SSH 서버의 인증 과정에서 보안 검사를 제대로 수행하지 못하는 오류가 있어, 공격자가 인증 없이 서버에 접속할 위험이 있습니다. 특정 기능을 잘못 사용했을 때 발생하는 문제로, 최신 버전으로 업데이트가 필요합니다.
🇺🇸 원문 (English)
Authentication bypass in sshd-core in Apache MINA SSHD versions 2.0.0 to 2.19.0 and 3.0.0-M1 to 3.0.0-M5 for a certain (presumed rare) way to implement an SSH server.
Apache MINA SSHD is a Java library for client- and server-side SSH. In the server part of the library, a mechanism to perform "asynchronous authentication" exists. A server implemented with Apache MINA SSHD must contain explicit code to make use of this feature. The implementation of this feature was flawed and could potentially lead to skipping checking the signature in public-key or hostbased authentication, or returning a wrong result.
Users are recommended to upgrade to Apache MINA SSHD 2.20.0 or 3.0.0-M6, which fix the logic error and which additionally forbid the use of this "asynchronous authentication" mechanism with the public-key or hostbased authentication schemes: if used, the SSH session will be closed and the server will log an entry indicating that asynchronous authentication may be used only with password or keyboard-interactive authentication.
📍 영향받는 시스템
Apache MINA SSHD 2.0.0 ~ 2.19.0 및 3.0.0-M1 ~ 3.0.0-M5
⚔️ 공격 벡터
비동기 인증 기능을 사용하는 SSH 서버를 대상으로 공개키 또는 호스트 기반 인증 과정의 서명 검증을 우회하여 접근
🛡️ 대응 방법
Apache MINA SSHD 2.20.0 또는 3.0.0-M6 이상 버전으로 업그레이드
🔧 검증 코드
프로젝트 설정 파일이나 라이브러리 경로에서 검색된 mina-sshd의 버전을 확인하여 취약 범위에 해당하는지 체크합니다.
grep -r "mina-sshd" /path/to/your/project/pom.xml || find / -name "*mina-sshd*" 2>/dev/null