CVE-2026-77185: Kritischer Authentifizierungs-Bypass in Apache MINA SSHD

Kurzfassung

Apache MINA SSHD ist von der kritischen Schwachstelle CVE-2026-77185 betroffen. Der Fehler erlaubt unter bestimmten Implementierungen des SSH-Servers einen Authentifizierungs-Bypass; der CVSS-Basiswert liegt bei 9.1 und damit im kritischen Bereich. Betroffen sind die Versionen 2.0.0 bis 2.19.0 sowie 3.0.0-M1 bis 3.0.0-M5, behoben ist das Problem ab 2.20.0 beziehungsweise 3.0.0-M6.

Was ist passiert?

Die Schwachstelle steckt im Server-Teil von Apache MINA SSHD, einer Java-Bibliothek für SSH-Clients und SSH-Server. Konkret betrifft sie den Baustein sshd-core und dort eine fehlerhafte Logik rund um asynchrone Authentifizierung.

Der Fehler tritt nicht in jeder Nutzung der Bibliothek auf. Verwundbar sind nach aktuellem Stand vor allem SSH-Server, deren Entwickler die Funktion für asynchrone Authentifizierung ausdrücklich eingebaut und mit Public-Key- oder Hostbased-Authentifizierung kombiniert haben. In dieser Konstellation kann die Signaturprüfung übersprungen werden oder das System ein falsches Authentifizierungsergebnis liefern.

Technische Details

Für CVE-2026-77185 ist ein CVSS-3.1-Basiswert von 9.1 vergeben worden. Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N und bedeutet: Ein Angriff ist über das Netzwerk möglich, mit geringer Komplexität, ohne vorherige Anmeldung und ohne Mitwirkung eines Nutzers. Der Wert beschreibt die technische Schwere der Schwachstelle, nicht automatisch, wie häufig sie in realen Umgebungen ausgenutzt werden kann.

Der Kern des Problems ist eine fehlerhafte Implementierung der asynchronen Authentifizierung im Server-Code. Nach den bekannten Details kann dies dazu führen, dass bei Public-Key- oder Hostbased-Authentifizierung eine Signatur nicht korrekt geprüft wird oder ein falsches Ergebnis zurückkommt. Apache hat die Logik in den korrigierten Versionen überarbeitet und zusätzlich unterbunden, dass dieser Mechanismus mit genau diesen Authentifizierungsarten weiter genutzt wird; in solchen Fällen wird die SSH-Sitzung beendet und ein Logeintrag erzeugt.

Wer ist betroffen?

Direkt betroffen sind Anwendungen und Eigenentwicklungen, die Apache MINA SSHD als Java-Bibliothek für einen SSH-Server einsetzen. Verwundbar sind die Versionen 2.0.0 bis 2.19.0 sowie 3.0.0-M1 bis 3.0.0-M5.

Für viele Unternehmen im DACH-Raum ist entscheidend: Es geht nicht um den OpenSSH-Server auf Linux-Systemen, sondern um Java-Anwendungen, Appliances oder interne Dienste, die einen eigenen SSH-Server mit Apache MINA SSHD bereitstellen. Das Risiko ist besonders relevant für Hersteller eigener Produkte, Integratoren und Teams mit individuell entwickelten Verwaltungs-, Automatisierungs- oder Dateiübertragungsdiensten auf Java-Basis.

Wer Apache MINA SSHD nur als Client nutzt, ist nach der bekannten Beschreibung nicht das primäre Risikoziel dieser Schwachstelle. Ebenfalls ist nicht jede Server-Implementierung automatisch angreifbar, weil die problematische asynchrone Authentifizierung aktiv im Code genutzt werden muss.

Empfohlene Maßnahmen

Erstens: Prüfen Sie umgehend, ob in Ihrer Umgebung Apache MINA SSHD serverseitig eingesetzt wird. Suchen Sie in Java-Projekten, Artefakt-Repositories und SBOMs gezielt nach org.apache.sshd und dem Modul sshd-core.

Zweitens: Aktualisieren Sie betroffene Installationen auf Apache MINA SSHD 2.20.0 oder 3.0.0-M6. Diese Versionen beheben den Logikfehler und blockieren die unsichere Kombination der asynchronen Authentifizierung mit Public-Key- oder Hostbased-Verfahren.

Drittens: Wenn ein sofortiges Update nicht möglich ist, prüfen Sie den Anwendungscode. Entscheidend ist, ob asynchrone Authentifizierung überhaupt verwendet wird und ob sie mit Public-Key- oder Hostbased-Authentifizierung verknüpft ist. Ist das der Fall, sollten Sie diese Konstellation kurzfristig abschalten oder den betroffenen SSH-Dienst bis zum Update isolieren.

Viertens: Kontrollieren Sie Protokolle und Konfigurationen von exponierten SSH-Diensten auf ungewöhnliche Authentifizierungsvorgänge. Besonders wichtig ist das bei Internet-exponierten Management-, Transfer- oder Integrationsdiensten auf Java-Basis.

Fünftens: Nehmen Sie die Schwachstelle in Ihre Lieferanten- und Produktprüfung auf. Wer Software von Dritten betreibt, sollte den Hersteller gezielt fragen, ob Apache MINA SSHD im Server-Modus eingesetzt wird und welche Version enthalten ist.

Einschätzung von CyberSecurity-News.de

Die technische Schwere ist hoch, die praktische Reichweite aber enger als der CVSS-Wert zunächst vermuten lässt. Ausschlaggebend ist, dass nur bestimmte SSH-Server-Implementierungen betroffen sind, die eine spezielle Authentifizierungsfunktion bewusst nutzen. Für klassische Linux-SSH-Server in Unternehmen ist das in aller Regel nicht das Thema.

Für Entwicklungsabteilungen, Softwarehersteller und Betreiber maßgeschneiderter Java-Dienste ist die Lücke trotzdem ernst. Ein Authentifizierungs-Bypass in einem Netzwerkdienst mit externer Erreichbarkeit gehört zu den Fällen, die schnell geprüft und sauber ausgeschlossen werden müssen.

Positiv ist, dass konkrete Zielversionen für die Behebung genannt sind. Weniger hilfreich ist, dass ohne Code- und Architekturprüfung oft nicht sofort erkennbar ist, ob die anfällige Implementierungsart tatsächlich verwendet wird. Genau deshalb sollten Unternehmen nicht nur Paketversionen zählen, sondern die reale Nutzung im Server-Code verifizieren.

Fazit

Wenn Sie Apache MINA SSHD als SSH-Server in Java-Anwendungen einsetzen, sollten Sie sofort prüfen, ob Versionen bis 2.19.0 oder 3.0.0-M5 im Einsatz sind und ob asynchrone Authentifizierung mit Public-Key- oder Hostbased-Verfahren genutzt wird. Wo das zutrifft, hat ein Update auf 2.20.0 oder 3.0.0-M6 hohe Priorität.

Für Unternehmen ohne eigene Java-SSH-Server ist die Meldung meist nur indirekt relevant. Für Hersteller, Integratoren und DevOps-Teams mit eingebetteten SSH-Diensten ist sie dagegen ein konkreter Prüf- und Patch-Fall.

Quellenangabe

Weiterführende technische Details und der CVE-Eintrag: NVD zu CVE-2026-77185.