Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache MINA SSHD（版本最高为 3.0.0-M1 至 3.0.0-M5） 2.19.0 的 sshd-git 中的输入验证不当。
    Apache MINA SSHD 是用于客户端和服务器端 SSH 的 Java 库。组件 org.apache.sshd：sshd-git 通过类 GitPgmCommandFactory 提供一种配置 Apache MINA SSHD 服务器的方法，以便经过认证的 SSH 客户端可以通过服务器上存储的 git 存储库上的 JGit 库远程执行 git 命令。在此机制中 CVE-2026-58624 ，仅限于少数 git 命令，包括不带 --output -o 选项的 git archive，这样即生成的存档不会写入服务器，而是通过 SSH 连接发送回客户端。为之 CVE-2026-58624 进行的修复不充分，因为它错过了从 archive 命令中删除命令参数的单参数-o=file.zip版本。建议用户升级到 3.0.0-M6 版 2.20.0 ，其中修复了此问题。（CVE-2026-93995）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Apache MINA SSHD 2.19.0 中，sshd-git 中的輸入驗證不正確，版本最高為 3.0.0-M1 至 3.0.0-M5。
    Apache MINA SSHD 是一個用於用戶端和伺服器端 SSH 的 Java 函式庫。元件 org.apache.sshd：sshd-git 透過類別 GitPgmCommandFactory 提供一種設定 Apache MINA SSHD 伺服器的方法，以便經過驗證的 SSH 用戶端可以透過伺服器上儲存的 git 存放庫上的 JGit 程式庫遠端執行 git 命令。在這種機制中 CVE-2026-58624 ，僅限於幾個 git 命令，包括不帶或 -o 選項的 --output git archive，這樣生成的存檔就不會寫入伺服器上，而是透過 SSH 連線發送回用戶端。所做的 CVE-2026-58624 修正還不夠，因為它遺漏了從封存命令中刪除命令參數的單引數-o=file.zip版本。建議使用者升級至可解決此問題的 3.0.0-M6 版 2.20.0 。（CVE-2026-93995）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4622-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-77185:非同期認証が署名認証をバイパスする可能性があります(bsc#1283357)。
    - CVE-2026-93994:サーバーで繰り返される公開鍵ポリシーのバイパス(bsc#1283352)。
    - CVE-2026-93995:JGit「archive -o=file.zip」のリモート実行により、サーバー(bsc#1283350)のファイルに書き込みが可能になります。
    - CVE-2026-93996:制限のない SCP コマンドライン読み取りによるメモリ枯渇 DoS(bsc#1283348)。
    - CVE-2026-94002:一方的な SFTP 応答による SFTP クライアントのメモリ枯渇(bsc#1283347)。
    - CVE-2026-94029:SFTP v6 check-file-name/check-file-handle 拡張のメモリ枯渇(bsc#1283346)。
    - CVE-2026-94052:LDAP パスワード認証が無効です(bsc#1283345)。
    - CVE-2026-94053:sshd-ldap での LDAP インジェクション(bsc#1283344)。

    apache-sshd の変更:

    - Upstream バージョン 2.20.0 への更新:
     + GH-656 ChannelPipedInputStream:空の場合バッファを縮小します + GH-906 BC ed25519 鍵の署名ファクトリーを見つける方法を修正します + GH-911 断片化され、パイプライン化した CONNECT リクエストに対するサーバー側の SOCKS5 プロキシを修正します + パスワードおよびキーボード対話型認証スキームに対してのみ非同期認証を許可します + 複数の公開鍵を必要とする認証を修正します(サーバー側) + sshd-git での引数処理を改善します + 認証のチェックを増加します(サーバー側) + SCP コマンド処理を改善します + SFTPclient:応答メッセージ処理を簡素化 + check-file-name/check-file-handle SFTP v6 拡張を修正 + LDAP 認証(sshd-ldap)を改善
     * 新機能 + GH-905 公開鍵認証でのauthorized_keys処理に「from」および「expiry-time」オプションを実装します(サーバー側)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.19.0 までのバージョンおよび 3.0.0-M1 から 3.0.0-M5 までの Apache MINA SSHD の sshd-git における、不適切な入力検証。
    Apache MINA SSHDは、クライアント側とサーバー側のSSH用のJavaライブラリです。コンポーネントorg.apache.sshd:sshd-gitは、クラスGitPgmCommandFactoryを介して、認証されたSSHクライアントがサーバーに格納されているgitリポジトリ上のJGitライブラリを介してリモートでgitコマンドを実行できるように、Apache MINA SSHDサーバーを構成する方法を提供します。CVE-2026-58624では、このメカニズムは、得られたアーカイブがサーバーに書き込まれず、代わりにSSH接続を介してクライアントに送り返されるよう、--outputまたは-oオプションのないgit archiveを含む、いくつかのgitコマンドにのみ制限されていました。CVE-2026-58624 に対して行われた修正は、アーカイブコマンドからのコマンドパラメーターの単一引数-o=file.zipバージョンの削除を見逃していたため、不十分でした。ユーザーは、この問題を修正するバージョン 2.20.0 または 3.0.0-M6 にアップグレードすることをお勧めします。(CVE-2026-93995)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4622-1 advisory.

    - CVE-2026-77185: Asynchronous authentication can bypass signature verification (bsc#1283357).
    - CVE-2026-93994: Repeated-publickey policy bypass on server (bsc#1283352).
    - CVE-2026-93995: Remote execution of JGit 'archive -o=file.zip' can write file on the server     (bsc#1283350).
    - CVE-2026-93996: Memory exhaustion DoS via unbounded SCP command line read (bsc#1283348).
    - CVE-2026-94002: Memory exhaustion in SFTP client via unsolicited SFTP replies (bsc#1283347).
    - CVE-2026-94029: Memory exhaustion in SFTP v6 check-file-name/check-file-handle extension (bsc#1283346).
    - CVE-2026-94052: LDAP password authentication ineffective (bsc#1283345).
    - CVE-2026-94053: LDAP injection in sshd-ldap (bsc#1283344).

    Changes for apache-sshd:

    - Update to upstream version 2.20.0:
     + GH-656 ChannelPipedInputStream: shrink buffer when emptied      + GH-906 Fix finding a signature factory for BC ed25519 keys      + GH-911 Fix server-side SOCKS5 proxy for fragmented and      pipelined CONNECT requests      + Allow asynchronous authentication only for password and      keyboard-interactive authentication schemes      + Fix authentication requiring multiple public keys      (server-side)      + Better argument handling in sshd-git      + More checks in authentication (server-side)      + Better SCP command handling      + SFTP client: simplify response message handling      + Fix check-file-name/check-file-handle SFTP v6 extension      + Improve LDAP authentication (sshd-ldap)
     * New Features      + GH-905 Implement the 'from' and 'expiry-time' options in      authorized_keys handling in public key authentication (server      side)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper input validation in sshd-git in Apache MINA SSHD, versions up to 2.19.0 and 3.0.0-M1 to 3.0.0-M5.
    Apache MINA SSHD is a Java library for client-side and server-side SSH. Component org.apache.sshd:sshd-git     provides though class GitPgmCommandFactory a way to configure an Apache MINA SSHD server such that     authenticated SSH clients can remotely execute git commands via the JGit library on git repositories     stored on the server. In CVE-2026-58624 this mechanism was restricted to only a few git commands,     including git archive without --output or -o options such that the resulting archive would not be     written on the server but instead sent back to the client over the SSH connection. The fix done for     CVE-2026-58624 was insufficient as it missed removing the single-argument -o=file.zip version of the     command parameter from the archive command. Users are recommended to upgrade to version 2.20.0 or     3.0.0-M6, which fix this issue. (CVE-2026-93995)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
351257	Linux Distros 未修补的漏洞：CVE-2026-93995	Nessus	Misc.	2026/9/30	2026/10/1	medium
351257	Linux Distros 未修補弱點：CVE-2026-93995	Nessus	Misc.	2026/9/30	2026/10/1	medium
365326	SUSE SLED15 / SLES15 セキュリティ更新プログラム:apache-sshd(SUSE-SU-2026:4622-1)	Nessus	SuSE Local Security Checks	2026/10/13	2026/10/13	critical
351257	Linux Distros のパッチ未適用の脆弱性: CVE-2026-93995	Nessus	Misc.	2026/9/30	2026/10/1	medium
365326	SUSE SLED15 / SLES15 Security Update : apache-sshd (SUSE-SU-2026:4622-1)	Nessus	SuSE Local Security Checks	2026/10/13	2026/10/13	critical
351257	Linux Distros Unpatched Vulnerability : CVE-2026-93995	Nessus	Misc.	2026/9/30	2026/10/1	medium

检测

插件搜索

medium

medium

critical

medium

critical

medium