Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
Опубликована

CVE-2026-94053

Apache MINA SSHD: LDAP injection in sshd-ldap

Публикация: 30.09.2026·Обновлена: 30.09.2026, 17:30·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Authentication bypass via LDAP injection in component sshd-ldap in Apache MINA SSHD versions 1.2.0 to 2.19.0 and 3.0.0-M1 to 3.0.0-M5. Apache MINA SSHD is a Java library for client-side and server-side SSH. The optional sshd-ldap component provides support for integrating password and publickey authentication on the server side with an LDAP server. sshd-ldap is an optional component. SSH servers implemented with Apache MINA SSHD are affected only if they use sshd-ldap and do configure it to be used for password of public key authentication. Other Apache MINA SSHD servers are not affected. Lack of escaping LDAP filter metacharacters enabled successful authentication with username "*" and password "*". Users are recommended to upgrade affected applications to version 2.20.0 or 3.0.0-M6, which fix this issue by properly escaping filter parameters according to RFC 4515.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Apache Software Foundation / Apache MINA SSHD 

{
  "status": "affected",
  "version": "1.2.0",
  "lessThan": "2.20.0",
  "versionType": "maven"
}
{
  "status": "affected",
  "version": "3.0.0-M1",
  "lessThan": "3.0.0-M6",
  "versionType": "maven"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьнет

Классы CWE

CWE-90 · Неправильная нейтрализация специальных элементов, используемых в запросе LDAPCWE-305 · Обход аутентификации по первичной слабости

Источники и ссылки

Бюллетень вендора · lists.apache.org · cveМатериал · www.openwall.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:17:02.530232+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.862563+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.862563+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.862563+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:17:02.530232+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:06:42.862563+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены06.11.2026, 00:17
  2. Данные обновлены05.11.2026, 00:21
  3. Данные обновлены04.11.2026, 00:15
  4. Данные обновлены03.11.2026, 00:15
  5. Данные обновлены02.11.2026, 00:13
  6. Данные обновлены31.10.2026, 12:00
  7. Данные обновлены29.10.2026, 12:46
  8. Опубликована29.10.2026, 00:06

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-94029
Apache MINA SSHD: Memory exhaustion in SFTP v6 check-file-name/check-file-handle extension
Apache Software Foundation / Apache MINA SSHD
Средний6.5
0,32 %
30.09.2026
CVE-2026-77185
Apache MINA SSHD: Asynchronous authentication can bypass signature verification
Apache Software Foundation / Apache MINA SSHD
Критический9.1
0,4 %
30.09.2026
CVE-2026-94052
Apache MINA SSHD: LDAP password authentication ineffective
Apache Software Foundation / Apache MINA SSHD
Критический9.1
0,37 %
30.09.2026
CVE-2026-94002
Apache MINA SSHD: Memory exhaustion in SFTP client via unsolicited SFTP replies
Apache Software Foundation / Apache MINA SSHD
Высокий7.5
0,36 %
30.09.2026
CVE-2026-93996
Apache MINA SSHD: Memory exhaustion DoS via unbounded SCP command line read
Apache Software Foundation / Apache MINA SSHD
Средний6.5
0,32 %
30.09.2026