JetBrains está respondiendo a la crisis de seguridad a gran escala que ha afectado a la autoridad de certificación eMudhra, la cual compromete la confianza en los certificados de diversos programas informáticos y entornos de desarrollo, incluidos varios productos principales de la compañía. Los equipos de seguridad y de producto de la empresa están evaluando el impacto y lanzando las actualizaciones necesarias para abordar esta vulnerabilidad.
Los detalles del incidente se originan en el descubrimiento por parte de un investigador de seguridad de una debilidad en la forma en que se generan las claves privadas asociadas a ocho certificados subordinados emitidos por eMudhra, lo que podría permitir a un atacante potencial crear certificados que parezcan legítimos para los sistemas que continúan confiando en esas cadenas afectadas. Aunque los sistemas operativos, los productos de consumo y los navegadores han tomado medidas para bloquear los certificados en cuestión, las aplicaciones que utilizan almacenes de confianza separados o integrados requieren actualizaciones adicionales.
Impacto en los productos de JetBrains
La compañía confirmó que el problema afecta a su diversa gama de productos, incluidos los entornos de desarrollo integrado (IDE), la aplicación Toolbox, los servidores TeamCity, YouTrack, Hub y otras herramientas para desarrolladores. Cabe destacar que muchos productos de JetBrains, ya sean de escritorio, locales o servicios en la nube, operan en un entorno de ejecución basado en Java, incluido JetBrains Runtime (la versión propia de la empresa del entorno de ejecución de Java), el cual confiaba en los certificados afectados al igual que otros entornos.
La empresa está priorizando a corto plazo la resolución de las vulnerabilidades en función del nivel de gravedad y el impacto potencial en los clientes, lanzando las actualizaciones de forma sucesiva. En cuanto a los servicios en la nube, como JetBrains AI, Qodana Cloud, TeamCity Cloud y YouTrack Cloud, la compañía ha procedido a actualizar su infraestructura directamente sin necesidad de intervención por parte de los usuarios, a excepción de aquellos clientes de TeamCity Cloud que utilizan agentes de compilación autohospedados (Self-hosted build agents), quienes deben actualizar su entorno Java.
¿Qué deben hacer los usuarios?
La compañía recomienda a los desarrolladores y usuarios tomar medidas prácticas inmediatas para garantizar la seguridad, las cuales incluyen:
- Instalar las actualizaciones de seguridad disponibles para los productos de JetBrains tan pronto como se publiquen.
- Mantener actualizados los sistemas operativos y los entornos de ejecución, aplicando los parches más recientes, incluidas las actualizaciones del almacén de certificados de confianza.
- Seguir las instrucciones específicas de cada producto en caso de que la actualización de seguridad directa aún no esté disponible.
- Actualizar el entorno Java utilizado en la aplicación, o bien eliminar los certificados raíz afectados del almacén de confianza si no es posible actualizar el producto de forma directa.
La empresa ha enfatizado que desactivar por completo la validación de certificados o debilitar los mecanismos de verificación como solución temporal no es recomendable bajo ningún concepto. Los equipos de trabajo continúan revisando la confianza de los certificados y preparando más correcciones que se darán a conocer a través de las notas de la versión y los avisos de seguridad.