Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Apache MINA SSHD （伺服器端） 中的憑證驗證不當。Apache MINA SSHD 是一個用於用戶端和伺服器端 SSH 的 Java 函式庫。在 Apache MINA SSHD 伺服器中的使用者驗證期間，伺服器端 OpenSSH 使用者憑證驗證不會檢查憑證中可能內嵌的不支援的 force-command 或 verify-required 選項，也不會驗證這些選項。因此，使用者可以使用包含 force-command 選項的這類憑證進行驗證，但仍可執行其他命令。使用者可以使用的其他命令取決於伺服器的實作。此問題已在 Apache MINA SSHD 2.19.0 和 3.0.0-M5 中修正。建議應用程式升級至這些版本。此修正會拒絕包含這些選項的 OpenSSH 使用者憑證，因為 Apache MINA SSHD 既不實作 force-command 也不實作 sk-*-cert-v01@openssh.com 使用者憑證 （這是唯一 verify-required 有意義的憑證）。（CVE-2026-56624）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache MINA SSHD（服务器端）中错误的证书验证。Apache MINA SSHD 是用于客户端和服务器端 SSH 的 Java 库。在 Apache MINA SSHD 服务器中，用户认证期间的服务器端 OpenSSH 用户证书验证并未检查证书中可能嵌入的不受支持的 force-command 或 verify-required 选项，也不会验证这些选项。因此，用户可能使用包含 force-command 选项的证书进行认证，但仍可以执行其他命令。用户究竟可以使用什么其他命令取决于服务器的实现。Apache MINA SSHD 2.19.0 和 3.0.0-M5 中已修复此问题。建议应用程序升级到这些版本。该补丁拒绝包含这些选项的 OpenSSH 用户证书，因为 Apache MINA SSHD 既不实现 force-command 也不实现 sk-*-cert-v01@openssh.com 用户证书（这是唯一有意义的 verify-required 证书）。（CVE-2026-56624）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache MINA SSHD(サーバー側)における不適切な証明書検証。Apache MINA SSHDは、クライアント側とサーバー側のSSH用のJavaライブラリです。Apache MINA SSHD サーバーでのユーザー認証中のサーバー側の OpenSSH ユーザー証明書の検証では、証明書に埋め込まれる可能性のあるサポートされていない force-command または verify-required オプションがチェックされず、これらのオプションも検証されませんでした。その結果、ユーザーは、force-command オプションが含まれている証明書で認証しても、他のコマンドを実行できる可能性がありました。他に正確にどのコマンドをユーザーが利用できるかは、サーバーの実装によって異なります。この問題は、Apache MINA SSHD 2.19.0 および 3.0.0-M5 で修正されています。アプリケーションは、これらのバージョンにアップグレードすることが推奨されます。この修正では、これらのオプションを含む OpenSSH ユーザー証明書が拒否されます。これは、Apache MINA SSHD が force-command も sk-*-cert-v01@openssh.com ユーザー証明書も実装していないためです(これは、検証必須が意味をなす唯一の証明書です)。(CVE-2026-56624)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper certificate validation in Apache MINA SSHD (server-side). Apache MINA SSHD is a Java library for     client-side and server-side SSH. Server-side OpenSSH user certificate validation during user     authentication in an Apache MINA SSHD server did not check for the unsupported force-command or verify-     required options that could be embedded in the certificate, nor did it validate these options. As a result     it was possible that a user could authenticate with such a certificate that included a force-command     option but still was able to execute other commands. What other command exactly would be available to the     user depends on the implementation of the server. This issue is fixed in Apache MINA SSHD 2.19.0 and     3.0.0-M5. Applications are advised to upgrade to these versions. The fix rejects OpenSSH user certificates     that include these options, since Apache MINA SSHD implements neither force-command nor     sk-*-cert-v01@openssh.com user certificates (which are the only ones for which verify-required would make     sense). (CVE-2026-56624)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3339-1 advisory.

    Update to upstream version 2.19.0.

    Security issues fixed:

    - CVE-2026-56452: remote users can use SCP to send filenames that lead to arbitrary file writes due to a     path traversal       issue in the `sshd-scp` component of Apache MINA SSHD. (bsc#1272158).
    - CVE-2026-56623: remote users can obtain access to git repositories outside of the configured server-side     root       directory on Windows systems due to path traversal issue in `org.apache.sshd:sshd-git` (bsc#1271993).
    - CVE-2026-56624: users can authenticate with certificates containing the `force-command` option but still     execute       other commands due to improper validation of certificate options in Apache MINA SSHD  (bsc#1271992).
    - CVE-2026-58624: remote execution of JGit commands can lead to arbitrary file writes due to improper     input validation       in `sshd-git` of Apache MINA SSHD (bsc#1271991).

    Other updates and bugfixes:

    - Version 2.19.0:
      * Bug Fixes
        - GH-899 Fix ProcessShellFactory on Linux.
        - GH-902 Fix client-side handling of sk-* public key signatures (also in the agent interfaces).
        - Limit size of decompressed SSH packets.
        - Improve checking SSH user certificates in public-key authentication.
        - Improve handling of repository paths in sshd-git on Windows.
        - Validate file names in SCP.
        - Escape newlines in filenames in the SCP protocol.
        - Restrict JGit commands accessible via GitPgmCommandFactory in sshd-git.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
329640	Linux Distros 未修補弱點：CVE-2026-56624	Nessus	Misc.	7/25/2026	9/7/2026	high
329640	Linux Distros 未修补的漏洞：CVE-2026-56624	Nessus	Misc.	7/25/2026	9/7/2026	high
329640	Linux Distros のパッチ未適用の脆弱性: CVE-2026-56624	Nessus	Misc.	7/25/2026	9/7/2026	high
329640	Linux Distros Unpatched Vulnerability : CVE-2026-56624	Nessus	Misc.	7/25/2026	9/7/2026	high
330534	SUSE SLED15 / SLES15 Security Update : apache-sshd (SUSE-SU-2026:3339-1)	Nessus	SuSE Local Security Checks	7/29/2026	7/29/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high