Das Unternehmen JetBrains reagiert auf die weitreichende Sicherheitskrise, die die Zertifizierungsstelle eMudhra betrifft und das Vertrauen in Zertifikate in zahlreichen Softwareprogrammen und Entwicklungsumgebungen beeinträchtigt, darunter auch eine Reihe von Kernprodukten des Unternehmens. Die Sicherheits- und Produktteams des Unternehmens bewerten die Auswirkungen und veröffentlichen die notwendigen Updates zur Behebung dieser Schwachstelle.
Die Details des Vorfalls gehen auf die Entdeckung einer Schwachstelle durch einen Sicherheitsforscher zurück, die die Generierung von privaten Schlüsseln betrifft, welche mit acht von eMudhra ausgegebenen Zwischenzertifikaten verknüpft sind. Dies könnte es einem potenziellen Angreifer ermöglichen, Zertifikate zu erstellen, die für Systeme, die diese betroffenen Ketten weiterhin akzeptieren, vertrauenswürdig erscheinen. Obwohl Betriebssysteme, Software und Browser Maßnahmen ergriffen haben, um die betreffenden Zertifikate zu sperren, erfordern Anwendungen, die separate oder integrierte Vertrauensspeicher verwenden, zusätzliche Updates.
Auswirkungen auf JetBrains-Produkte
Das Unternehmen hat bestätigt, dass das Problem seine verschiedenen Produktpaletten betrifft, darunter integrierte Entwicklungsumgebungen (IDEs), die Toolbox App, TeamCity-Server, YouTrack, Hub und andere Entwicklertools. Es ist erwähnenswert, dass viele JetBrains-Produkte – ob Desktop-, On-Premise- oder Cloud-Dienste – in ihrer Laufzeitumgebung auf Java basieren, einschließlich der JetBrains Runtime, der unternehmenseigenen Version der Java-Laufzeitumgebung, die den betroffenen Zertifikaten genau wie andere Umgebungen vertraute.
Das Unternehmen priorisiert kurzfristig die Behebung der Schwachstellen auf der Grundlage des Schweregrads und der potenziellen Auswirkungen auf die Kunden und veröffentlicht die Updates nacheinander. Bei Cloud-Diensten wie JetBrains Air, Qodana Cloud, TeamCity Cloud und YouTrack Cloud hat das Unternehmen bereits direkt mit der Aktualisierung seiner Infrastruktur begonnen, ohne dass ein Eingreifen der Nutzer erforderlich ist. Eine Ausnahme bilden TeamCity Cloud-Kunden, die selbst gehostete Build-Agenten (Self-hosted build agents) verwenden, da diese ihre Java-Umgebung aktualisieren müssen.
Was sollten Benutzer tun?
Das Unternehmen empfiehlt Entwicklern und Benutzern, sofortige praktische Schritte zur Gewährleistung der Sicherheit zu unternehmen, darunter:
- Installation der verfügbaren Sicherheitsupdates für JetBrains-Produkte sofort nach deren Veröffentlichung.
- Aktualisierung von Betriebssystemen und Laufzeitumgebungen sowie Anwendung der neuesten Updates einschließlich der Aktualisierungen des Vertrauenszertifikatspeichers.
- Befolgung der produktspezifischen Anweisungen, falls noch kein direktes Sicherheitsupdate verfügbar ist.
- Aktualisierung der in der Anwendung verwendeten Java-Umgebung oder Entfernung der betroffenen Stammzertifikate aus dem Vertrauensspeicher, falls eine direkte Aktualisierung des Produkts nicht möglich ist.
Das Unternehmen hat betont, dass die vollständige Deaktivierung der Zertifikatsvalidierung oder die Abschwächung der Validierungsmechanismen als vorübergehende Lösung keinesfalls empfohlen wird. Die Teams arbeiten weiterhin an der Überprüfung des Zertifikatsvertrauens und bereiten weitere Korrekturen vor, die über die Versionshinweise und Sicherheitshinweise bereitgestellt werden.