تستجيب شركة جيت برينز (JetBrains) للأزمة الأمنية الواسعة النطاق التي أثرت على هيئة إصدار الشهادات eMudhra، والتي تمس ثقة الشهادات في العديد من البرمجيات وبيئات التطوير، بما في ذلك عدد من منتجات الشركة الأساسية. وتقوم فرق الأمن والمنتجات في الشركة بتقييم التأثير وإطلاق التحديثات اللازمة لمعالجة هذه الثغرة.
تعود تفاصيل الحادثة إلى اكتشاف باحث أمني ضعفاً في كيفية توليد المفاتيح الخاصة المرتبطة بثماني شهادات وسيطة تابعة لشركة eMudhra، مما قد يتيح لمهاجم محتمل إنشاء شهادات تبدو موثوقة لدى الأنظمة التي تواصل قبول تلك السلاسل المتأثرة. ورغم تحرك بضائع وأنظمة التشغيل والمتصفحات لحظر الشهادات المعنية، فإن التطبيقات التي تستخدم مخازن ثقة منفصلة أو مدمجة تتطلب تحديثات إضافية.
التأثير على منتجات JetBrains
أكدت الشركة أن المشكلة تؤثر على حزمة منتجاتها المتنوعة، وتشمل بيئات التطوير المتكاملة (IDEs)، وتطبيق Toolbox App، وخوادم TeamCity، وYouTrack، وHub، وغيرها من أدوات المطورين. جدير بالذكر أن العديد من منتجات JetBrains، سواء المكتبية أو المحلية أو الخدمات السحابية، تعمل بيئة تشغيلها على لغة جافا، بما في ذلك JetBrains Runtime، وهي نسخة الشركة من بيئة تشغيل جافا التي كانت تثق بالشهادات المتأثرة تماماً مثل البيئات الأخرى.
وتعطي الشركة أولوية قصيرة الأمد لمعالجة الثغرات بناءً على مستوى الخطورة والتأثير المحتمل على العملاء، مع إصدار التحديثات تباعاً. أما بالنسبة للخدمات السحابية مثل JetBrains Air وQodana Cloud وTeamCity Cloud وYouTrack Cloud، فقد باشرت الشركة بتحديث بنيتها التحتية مباشرة دون الحاجة لتدخل المستخدمين، باستثناء عملاء TeamCity Cloud الذين يستخدمون عملاء بناء محليين (Self-hosted build agents) حيث يلزمهم تحديث بيئة جافا لديهم.
ماذا على المستخدمين فعله؟
توصي الشركة المطورين والمستخدمين باتخاذ خطوات عملية فورية لضمان الأمان، وتشمل:
- تثبيت التحديثات الأمنية المتاحة لمنتجات JetBrains فور صدورها.
- الحفاظ على تحديث أنظمة التشغيل وبيئات التشغيل، وتطبيق أحدث التحديثات بما في ذلك تحديثات مخزن شهادات الثقة.
- اتباع الإرشادات الخاصة بكل منتج في حال عدم توفر التحديث الأمني المباشر بعد.
- تحديث بيئة جافا المستخدمة في التطبيق، أو إزالة شهادات الجذر المتأثرة من مخزن الثقة في حال تعذر التحديث المباشر للمنتج.
وقد شددت الشركة على أن تعطيل التحقق من صحة الشهادات تماماً أو إضعاف آليات التحقق كحل مؤقت يعد أمراً غير مكوم به نهائياً. وتواصل فرق العمل مراجعة ثقة الشهادات وإعداد المزيد من الإصلاحات لتوفيرها عبر ملاحظات الإصدار والإشعارات الأمنية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.