JetBrainsは、証明書発行機関であるeMudhraに影響を与えた大規模なセキュリティインシデントに対応しています。このインシデントは、同社の主要な製品をはじめとする多くのソフトウェアや開発環境における証明書の信頼性に影響を及ぼしています。同社のセキュリティおよび製品チームは、影響の評価を行い、この脆弱性に対処するために必要なアップデートをリリースしています。
このインシデントの詳細は、eMudhraの8つの中間証明書に関連する秘密鍵の生成方法に脆弱性が発見されたことに起因しており、攻撃者が影響を受けたチェーンを信頼し続けるシステムに対して信頼性の高いように見える証明書を偽造できる可能性がありました。オペレーティングシステムやブラウザ、その他の製品は問題の証明書をブロックするために動いていますが、個別または組み込みの信頼ストアを使用するアプリケーションには追加のアップデートが必要です。
JetBrains製品への影響
同社は、この問題が統合開発環境（IDE）、Toolbox App、TeamCity、YouTrack、Hub、その他の開発者向けツールなど、同社のさまざまな製品スイートに影響を与えることを確認しました。特筆すべき点として、JetBrainsのデスクトップ、オンプレミス、クラウドサービスの多くの製品では、その実行環境にJavaが使用されています。これにはJetBrains Runtime（他の環境と同様に影響を受けた証明書を信頼していた、同社によるJava実行環境のカスタムビルド）も含まれます。
同社は、深刻度と顧客への潜在的な影響に基づいて脆弱性への対処を短期的な優先事項とし、順次アップデートをリリースしています。JetBrains AI、Qodana Cloud、TeamCity Cloud、YouTrack Cloudなどのクラウドサービスについては、ユーザーによる操作を必要とせず、同社が直接インフラストラクチャのアップデートを開始しました。ただし、セルフホスト型ビルドエージェントを使用しているTeamCity Cloudの顧客については、Java環境をアップデートする必要があります。
ユーザーが取るべき対応
同社は、開発者やユーザーに対し、安全性を確保するために以下の実践的な即時措置を講じることを推奨しています。
- JetBrains製品向けの利用可能なセキュリティアップデートが公開され次第インストールする。
- オペレーティングシステムと実行環境を常に最新の状態に保ち、信頼証明書ストアのアップデートを含む最新の更新を適用する。
- 直接的なセキュリティアップデートがまだ利用できない場合、各製品の個別ガイドラインに従う。
- 製品の直接アップデートが不可能な場合、アプリケーションで使用されているJava環境をアップデートするか、信頼ストアから影響を受けたルート証明書を削除する。
同社は、一時的な回避策として証明書の検証を完全に無効にしたり、検証メカニズムを弱めたりすることは絶対に推奨されないと強調しました。作業チームは証明書の信頼性の確認を続け、リリースノートやセキュリティ通知を通じてさらなる修正を提供するための準備を進めています。