JetBrains réagit à la crise de sécurité à grande échelle qui a touché l'autorité de certification eMudhra, affectant la confiance accordée aux certificats dans de nombreux logiciels et environnements de développement, y compris plusieurs produits phares de l'entreprise. Les équipes de sécurité et de produits de la société évaluent l'impact et déploient les mises à jour nécessaires pour corriger cette vulnérabilité.
Les détails de l'incident remontent à la découverte par un chercheur en sécurité d'une faiblesse dans la manière dont les clés privées associées à huit certificats intermédiaires d'eMudhra ont été générées, ce qui pourrait permettre à un attaquant potentiel de créer des certificats semblant dignes de confiance pour les systèmes qui continuent d'accepter ces chaînes affectées. Bien que les systèmes d'exploitation et les navigateurs aient agi pour bloquer les certificats concernés, les applications utilisant des magasins de confiance distincts ou intégrés nécessitent des mises à jour supplémentaires.
Impact sur les produits JetBrains
L'entreprise a confirmé que le problème affecte sa gamme variée de produits, notamment les environnements de développement intégrés (IDE), l'application Toolbox App, les serveurs TeamCity, YouTrack, Hub et d'autres outils de développement. Il convient de noter que de nombreux produits JetBrains, qu'ils soient de bureau, locaux ou services cloud, fonctionnent sur un environnement d'exécution Java, y compris JetBrains Runtime, qui est la version de l'entreprise de l'environnement d'exécution Java qui faisait confiance aux certificats affectés tout comme les autres environnements.
L'entreprise accorde une priorité à court terme à la résolution des vulnérabilités en fonction du niveau de risque et de l'impact potentiel sur les clients, en publiant les mises à jour successivement. Quant aux services cloud tels que JetBrains Air, Qodana Cloud, TeamCity Cloud et YouTrack Cloud, l'entreprise a commencé à mettre à jour son infrastructure directement sans intervention des utilisateurs, à l'exception des clients de TeamCity Cloud utilisant des agents de build locaux (Self-hosted build agents), pour lesquels la mise à jour de leur environnement Java est nécessaire.
Que doivent faire les utilisateurs ?
L'entreprise recommande aux développeurs et aux utilisateurs de prendre des mesures pratiques immédiates pour garantir la sécurité, notamment :
- Installer les mises à jour de sécurité disponibles pour les produits JetBrains dès leur publication.
- Maintenir à jour les systèmes d'exploitation et les environnements d'exécution, et appliquer les dernières mises à jour, y compris les mises à jour du magasin de certificats de confiance.
- Suivre les instructions spécifiques à chaque produit si la mise à jour de sécurité directe n'est pas encore disponible.
- Mettre à jour l'environnement Java utilisé dans l'application, ou supprimer les certificats racines affectés du magasin de confiance si la mise à jour directe du produit est impossible.
L'entreprise a souligné que la désactivation complète de la vérification de la validité des certificats ou l'affaiblissement des mécanismes de vérification en tant que solution temporaire est fortement déconseillée. Les équipes continuent de revoir la confiance accordée aux certificats et de préparer d'autres correctifs qui seront fournis via les notes de version et les avis de sécurité.