Критическая уязвимость обхода аутентификации в Apache MINA SSHD — CVE-2026-77185

В библиотеке Apache MINA SSHD — популярном Java-решении для реализации SSH-клиентов и серверов — выявлена уязвимость критического уровня, получившая идентификатор CVE-2026-77185. Она связана с механизмом «асинхронной аутентификации» на стороне сервера и способна привести к обходу проверки подписи.

Подробности

Уязвимость затрагивает модуль sshd-core в составе Apache MINA SSHD. Уязвимыми признаны версии 2.0.0 – 2.19.0 и 3.0.0-M1 – 3.0.0-M5. Оценка по CVSS составляет 9.1 (CRITICAL).

Apache MINA SSHD предоставляет Java-библиотеку для работы с SSH как на клиентской, так и на серверной стороне. В серверной части существует механизм так называемой «асинхронной аутентификации». Чтобы задействовать эту функцию, сервер, построенный на базе Apache MINA SSHD, должен содержать явный код её вызова — то есть уязвимость проявляется только в определённой (как отмечается в описании, предположительно редкой) реализации SSH-сервера.

Реализация механизма содержала логическую ошибку, из-за которой при использовании асинхронной аутентификации могла пропускаться проверка подписи в схемах аутентификации по открытому ключу (public-key) или hostbased, либо возвращался неверный результат. Это создаёт риск несанкционированного доступа к SSH-серверу в обход штатных процедур проверки подлинности.

Что делать

Разработчикам и администраторам, использующим Apache MINA SSHD, рекомендуется как можно скорее обновиться до исправленных версий:

• Apache MINA SSHD 2.20.0
• Apache MINA SSHD 3.0.0-M6

В этих версиях устранена логическая ошибка. Дополнительно в них запрещено использование механизма «асинхронной аутентификации» совместно со схемами public-key и hostbased: при попытке такого сочетания SSH-сессия будет закрыта, а сервер запишет в лог сообщение о том, что асинхронная аутентификация допустима только с password- или keyboard-interactive-схемами.

Если немедленное обновление невозможно, следует проверить собственную реализацию SSH-сервера: убедиться, что в коде не задействован вызов асинхронной аутентификации, либо временно исключить её использование для схем public-key и hostbased.

Уязвимость CVE-2026-77185 относится к классу обхода аутентификации и несёт критический риск для серверов, реализованных с применением соответствующей функциональности Apache MINA SSHD. Единственный надёжный способ защиты — переход на исправленные версии 2.20.0 или 3.0.0-M6. Учитывая высокую оценку CVSS (9.1), откладывать обновление не рекомендуется.

Источник: CVE Project (cvelistV5)