Unsafe deserialization in Apache MINA SSHD

NGHIÊM TRỌNG 9.8CVE-2022-45047 · GHSA-fhw8-8j55-vwgq · Công bố 16/11/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-45047 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng org.apache.sshd:sshd-common, org.apache.sshd:sshd-core, sshd (apache).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 3.8%, cao hơn 90.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.9.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.apache.sshd:sshd-common Maven	`< 2.9.2`	`2.9.2`
org.apache.sshd:sshd-core Maven	`< 2.9.2`	`2.9.2`
sshd apache	`≤ 2.9.1`	Chưa có bản vá

Mô tả

Class org.apache.sshd.server.keyprovider.SimpleGeneratorHostKeyProvider in Apache MINA SSHD <= 2.9.1 uses Java deserialization to load a serialized java.security.PrivateKey. The class is one of several implementations that an implementor using Apache MINA SSHD can choose for loading the host keys of an SSH server.

Until version 2.1.0, the code affected by this vulnerability appeared in org.apache.sshd:sshd-core. Version 2.1.0 contains a commit where the code was moved to the package org.apache.sshd:sshd-common, which did not exist until version 2.1.0.

Mô tả của NVD