🇰🇷 한글 설명
Apache MINA SSHD의 sshd-core 컴포넌트에서 다중 인증 설정 시 두 개의 서로 다른 공개키를 요구하는 규칙을 강제하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 동일한 하나의 키를 두 번 제시함으로써 다중 인증 과정을 우회하여 인증을 통과할 수 있습니다.
💡 쉬운 설명
로그인할 때 열쇠 두 개를 각각 다른 것으로 사용해야 하는데, 똑같은 열쇠를 두 번 써도 통과되는 보안 허점이 발견되었습니다. 이로 인해 보안이 강화된 다중 인증 시스템이 무력화될 수 있습니다.
🇺🇸 원문 (English)
Apache MINA SSHD is a Java library for client-side and server-side SSH. SSH servers can be configured to require multi-authentication schemes, for instance two different public keys, not just one. In OpenSSH, this would be done by setting in sshd_config AuthenticationMethods "publickey,publickey". Apache MINA SSHD provides an equivalent configuration mechanism.
In Apache MINA SSHD versions up to 2.19.0 and 3.0.0-M1 to 3.0.0-M5 the server code in component sshd-core does not enforce that the two public keys presented are different. A user can thus successfully authenticate with only one of the two key pairs required by presenting this single key twice. This is a partial authentication bypass.
Users are recommended to upgrade to version 2.20.0 or 3.0.0-M6, which fix this issue.
📍 영향받는 시스템
Apache MINA SSHD versions up to 2.19.0 and 3.0.0-M1 to 3.0.0-M5
⚔️ 공격 벡터
다중 인증이 설정된 SSH 서버에 동일한 공개키를 두 번 제출하여 인증 우회
🛡️ 대응 방법
Apache MINA SSHD를 2.20.0 또는 3.0.0-M6 이상의 버전으로 업그레이드
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 해당 라이브러리가 시스템에 설치되어 있는 상태입니다.
mvn dependency:list | grep -E 'apache-mina-sshd-(2\.19\.0|3\.0\.0-M[1-5])'