La société JetBrains a annoncé la disponibilité de mises à jour de sécurité critiques concernant sa suite d'outils de développement et ses environnements logiciels, englobant les environnements de développement intégrés, l'application Toolbox App, Gateway et les outils .net, suite à la découverte du piratage des clés privées de huit certificats intermédiaires émis par l'autorité de certification (eMudhra).
Nature de la menace de sécurité et son impact sur les environnements de travail
Ce piratage représente un danger potentiel en raison de la capacité d'un attaquant réseau surveillant le trafic à usurper l'identité des sites et services auxquels se connectent les outils de JetBrains. Étant donné que les environnements de développement et l'application Toolbox App dépendent du magasin de confiance de l'environnement d'exécution intégré de JetBrains, les mises à jour du système d'exploitation ne suffisent pas à elles seules à protéger les utilisateurs contre ces risques.
La société a intégré les correctifs d'Oracle liés aux failles pour résoudre le problème via la mise à jour de l'environnement d'exécution, tout en fournissant des mises à jour distinctes pour le service d'arrière-plan (jetbrainsd) qui possède son propre magasin de certificats de confiance. Bien que la société ait confirmé qu'aucune exploitation réelle de cette faille contre ses utilisateurs n'avait été détectée jusqu'au moment de la publication, elle a insisté sur la nécessité de prendre des mesures immédiates.
Qu'est-ce qui change concrètement ?
Les développeurs et les utilisateurs doivent prendre des mesures pratiques pour assurer la sécurité de leurs environnements de travail, notamment :
- Mettre à jour les environnements de développement intégrés tels qu'IntelliJ IDEA, PyCharm, Rider et d'autres outils vers les nouvelles versions sécurisées.
- Mettre à jour l'application Toolbox App vers les versions récentes et éviter les anciennes versions qui ne recevront pas de correctifs.
- Mettre à jour le service d'arrière-plan (jetbrainsd) et installer la version 0.9.9728 ou une version ultérieure pour ceux qui rencontrent des difficultés à mettre à jour directement les applications.
- Suivre les étapes alternatives en cas d'impossibilité d'effectuer une mise à jour immédiate, ce qui inclut la suppression manuelle des certificats racines concernés et la désactivation du navigateur intégré si nécessaire.
Mesures de soutien et alternatives temporaires
JetBrains a expliqué que les anciennes versions publiées en 2025 et les années antérieures ne recevront pas de mises à jour pour ce problème, ce qui oblige les utilisateurs à passer aux versions prises en charge. Dans les cas où la mise à jour directe s'avère impossible, la société a fourni un guide pour nettoyer manuellement la liste des certificats à l'aide des outils en ligne de commande de l'environnement Java, tout en expliquant comment désactiver le navigateur intégré JCEF pour éviter toute faille qui y serait liée.