JetBrains는 인증 기관인 eMudhra에 영향을 미친 광범위한 보안 위기에 대응하고 있습니다. 이번 문제는 회사의 여러 핵심 제품을 포함하여 수많은 소프트웨어 및 개발 환경의 인증서 신뢰성에 영향을 미칩니다. 회사의 보안 및 제품 팀은 영향도를 평가하고 이 취약점을 해결하기 위해 필요한 업데이트를 출시하고 있습니다.
이번 사건의 세부 사항은 한 보안 연구원이 eMudhra의 8개 중간 인증서와 연결된 프라이빗 키 생성 방식의 취약점을 발견하면서 시작되었습니다. 이는 잠재적 공격자가 해당 영향 받은 체인을 계속 신뢰하는 시스템에서 신뢰할 수 있는 것처럼 보이는 인증서를 생성할 수 있게 만들 수 있습니다. 운영 체제와 브라우저는 문제의 인증서를 차단하기 위해 조치를 취했지만, 별도 또는 내장된 신뢰 저장소를 사용하는 애플리케이션에는 추가 업데이트가 필요합니다.
JetBrains 제품에 미치는 영향
JetBrains는 이번 문제가 통합 개발 환경(IDE), Toolbox App, TeamCity 서버, YouTrack, Hub 및 기타 개발자 도구를 포함한 다양한 제품군에 영향을 미친다고 확인했습니다. 데스크톱, 온프레미스 또는 클라우드 서비스 등 많은 JetBrains 제품의 실행 환경은 Java를 기반으로 하며, 여기에는 다른 환경과 마찬가지로 영향을 받은 인증서를 신뢰하던 Java 런타임의 사내 버전인 JetBrains Runtime도 포함됩니다.
JetBrains는 위험 수준과 고객에 대한 잠재적 영향에 따라 취약점 해결에 단기적인 우선순위를 두고 있으며, 업데이트를 순차적으로 출시하고 있습니다. JetBrains AI, Qodana Cloud, TeamCity Cloud, YouTrack Cloud 등의 클라우드 서비스의 경우, 회사는 사용자의 개입 없이 인프라를 직접 업데이트하기 시작했습니다. 단, 자체 호스팅 빌드 에이전트(Self-hosted build agents)를 사용하는 TeamCity Cloud 고객은 Java 환경을 업데이트해야 합니다.
사용자가 해야 할 일
JetBrains는 개발자와 사용자에게 보안을 보장하기 위한 즉각적인 실천 조치를 취할 것을 권장하며, 다음 사항이 포함됩니다.
- JetBrains 제품용으로 제공되는 보안 업데이트를 출시 즉시 설치합니다.
- 운영 체제와 실행 환경을 최신 상태로 유지하고, 신뢰 인증서 저장소 업데이트를 포함한 최신 업데이트를 적용합니다.
- 아직 직접적인 보안 업데이트가 제공되지 않는 경우 각 제품별 지침을 따릅니다.
- 애플리케이션에 사용되는 Java 환경을 업데이트하거나, 제품의 직접 업데이트가 불가능한 경우 신뢰 저장소에서 영향을 받은 루트 인증서를 제거합니다.
JetBrains는 임시방편으로 인증서 유효성 검사를 완전히 비활성화하거나 검사 메커니즘을 약화시키는 것은 절대 권장되지 않는다고 강조했습니다. 팀은 인증서 신뢰성을 계속 검토하고 있으며 릴리스 노트와 보안 공지를 통해 추가적인 수정 사항을 제공할 예정입니다.