| 漏洞类型 | 路径遍历 | 发现时间 | 2023/7/7 | 漏洞等级 | 高危 |
| MPS编号 | MPS-4amk-710b | CVE编号 | CVE-2023-35887 | 漏洞影响广度 | – |
漏洞危害
| OSCS 描述 |
| Apache MINA SSHD 是一个为 Java 的应用程序提供 SSH 支持的 java 库。Apache MINA SSHD 在受影响的版本中，由于没有在 RootedFileSystem 中限制 SFTP 用户的访问权限，攻击者可以利用路径中的”..”和符号链接，查看根目录之外的文件或目录，导致服务器敏感信息泄漏的等 参考链接：https://www.oscs1024.com/hd/MPS-4amk-710b |
| APACHE PONY MAIL 描述 |
| Apache 软件基金会 Apache MINA 中未经授权的参与者漏洞暴露敏感信息。在使用 RootedFileSystem 的 Apache MINA SSHD 实现的 SFTP 服务器中，登录用户可能能够通过路径（包括根之外的父导航（“..”））发现有关根树外部项目的“存在/不存在”信息，或者 涉及符号链接。此问题影响 Apache MINA：从 1.0 到 2.10。 感谢 Andrew Pikler 发现该问题并帮助解决它。 此问题被跟踪为 SSHD-1324 参考链接：https://lists.apache.org/thread/qbg14djo95gfpk7o560lr8wcrzfyw43l |
影响范围及处置方案
OSCS 平台影响范围和处置方案
| 影响范围 | 处置方式 | 处置方法 |
| org.apache.sshd:sshd-sftp@[1.0, 2.10) | 更新 | 将组件 org.apache.sshd:sshd-sftp 升级到 2.10 或更高版本 |
| 参考链接：https://www.oscs1024.com/hd/MPS-4amk-710b | ||
APACHE PONY MAIL 平台影响范围和处置方案
| 影响范围 | 处置方式 | 处置方法 |
| Apache MINA SSHD 1.0 before 2.10 | 暂无 | 暂无 |
| 参考链接：https://lists.apache.org/thread/qbg14djo95gfpk7o560lr8wcrzfyw43l | ||
排查方式
| 方式1：使用漏洞检测CLI工具来排查 使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html |
| 方式2：使用漏洞检测IDEA插件排查 使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html |
| 方式3：接入GitLab进行漏洞检测排查 使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html |
| 更多排查方式：https://www.murphysec.com/docs/faqs/integration/ |
本文参考链接
https://www.oscs1024.com/hd/MPS-4amk-710b
https://nvd.nist.gov/vuln/detail/CVE-2023-35887
https://github.com/apache/mina-sshd/pull/362
https://github.com/apache/mina-sshd/commit/31d7db5d4d368c9f79ce50d1d827d2f718380c61
https://lists.apache.org/thread/b9qgtqvhnvgfpn0w1gz918p21p53tqk2