「Apache MINA SSHD」に脆弱性 - アップデートがリリース

SSHプロトコルをサポートするJavaライブラリ「Apache MINA SSHD」に脆弱性が明らかとなった。

「同2.9.1」および以前のバージョンに、シリアライズされたホスト鍵をロードする際、信頼できないデータをデシリアライズする脆弱性「CVE-2022-45047」が明らかとなったもの。開発チームでは、重要度を「重要（Important）」とレーティングしている。

一方米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」においてベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価した。

開発チームでは、脆弱性を修正した「同2.9.2」をリリース。脆弱性が存在する旧版では、サーバにおけるホスト鍵を同ライブラリにおける特定の関数を用いて生成、読み込むのではなく、別途生成したOpenSSHフォーマットなどのホスト鍵を利用するよう求めている。

（Security NEXT - 2022/11/25 ）ツイート