Apache MINA SSHD: обход политики repeated-publickey на сервере (CVE-2026-93994)
В Apache MINA SSHD обнаружена уязвимость, позволяющая обойти обязательную многофакторную аутентификацию по открытым ключам. Атакующий может пройти проверку, предъявив один и тот же ключ дважды вместо двух разных. Проблема затрагивает серверный компонент sshd-core и оценена в 8.1 (HIGH).
Подробности
Уязвимость затрагивает компонент sshd-core в Apache MINA SSHD версий до 2.19.0 включительно, а также в диапазоне от 3.0.0-M1 до 3.0.0-M5. При настроенной политике, требующей два различных открытых ключа, серверный код не проверяет, что предъявленные ключи действительно различаются. В результате пользователь может успешно аутентифицироваться, имея лишь одну из двух необходимых пар ключей, — достаточно предъявить этот единственный ключ дважды. Это представляет собой частичный обход аутентификации: требование многофакторности формально выполняется, но фактически второй фактор отсутствует. Проблема особенно опасна для систем, где многофакторная аутентификация по ключам используется как дополнительный барьер для привилегированных или критичных учётных записей. Компенсирующих факторов, снижающих риск, в записи CVE не указано.Что делать
Разработчикам рекомендуется обновить Apache MINA SSHD до версии 2.20.0 или 3.0.0-M6, в которых уязвимость устранена. Это наиболее надёжный способ закрыть проблему. Если немедленное обновление невозможно, следует рассмотреть временные меры: отказаться от схемы с двумя открытыми ключами в пользу других методов многофакторной аутентификации (например, комбинации пароля и ключа или ключа и OTP), а также ограничить доступ к сервису на сетевом уровне и усилить мониторинг подозрительных попыток аутентификации. Однако такие меры являются лишь обходными и не заменяют установку исправленной версии. Организациям, использующим Apache MINA SSHD в составе своих продуктов или внутренних сервисов, стоит проверить, применяется ли у них конфигурация с обязательными двумя открытыми ключами, и в первую очередь обновить именно такие инсталляции. Итог: CVE-2026-93994 позволяет обойти требование двух разных открытых ключей, предъявив один ключ дважды. Уязвимость высокой критичности устранена в версиях 2.20.0 и 3.0.0-M6; обновление является приоритетной мерой защиты.Источник: CVE Project (cvelistV5)