A JetBrains está respondendo à ampla crise de segurança que afetou a autoridade de certificação eMudhra, a qual afeta a confiabilidade de certificados em vários softwares e ambientes de desenvolvimento, incluindo vários dos principais produtos da empresa. As equipes de segurança e de produtos da empresa estão avaliando o impacto e lançando as atualizações necessárias para resolver essa vulnerabilidade.
Os detalhes do incidente remontam à descoberta por um pesquisador de segurança de uma fraqueza na forma como as chaves privadas associadas a oito certificados intermediários pertencentes à eMudhra foram geradas, o que poderia permitir que um invasor potencial criasse certificados que parecessem confiáveis para sistemas que continuam a aceitar essas cadeias afetadas. Embora fornecedores, sistemas operacionais e navegadores tenham agido para bloquear os certificados em questão, os aplicativos que usam repositórios de confiança separados ou integrados exigem atualizações adicionais.
Impacto nos produtos da JetBrains
A empresa confirmou que o problema afeta seu conjunto diversificado de produtos, incluindo Ambientes de Desenvolvimento Integrado (IDEs), o aplicativo Toolbox App, os servidores TeamCity, YouTrack, Hub e outras ferramentas de desenvolvedor. Vale ressaltar que muitos produtos da JetBrains, sejam de desktop, locais ou serviços em nuvem, executam seus ambientes em Java, incluindo o JetBrains Runtime, que é a versão da empresa do ambiente de execução Java que confiava nos certificados afetados exatamente como outros ambientes.
A empresa está priorizando de curto prazo a resolução de vulnerabilidades com base no nível de gravidade e no impacto potencial sobre os clientes, emitindo atualizações sucessivamente. Quanto aos serviços em nuvem, como JetBrains AI, Qodana Cloud, TeamCity Cloud e YouTrack Cloud, a empresa começou a atualizar sua infraestrutura diretamente sem a necessidade de intervenção do usuário, exceto para clientes do TeamCity Cloud que usam agentes de compilação locais (self-hosted build agents), onde eles precisam atualizar seu ambiente Java.
O que os usuários devem fazer?
A empresa recomenda que desenvolvedores e usuários tomem medidas práticas imediatas para garantir a segurança, que incluem:
- Instalar as atualizações de segurança disponíveis para os produtos da JetBrains assim que forem lançadas.
- Manter os sistemas operacionais e ambientes de execução atualizados, aplicando as atualizações mais recentes, incluindo atualizações do repositório de certificados de confiança.
- Seguir as instruções específicas de cada produto caso a atualização de segurança direta ainda não esteja disponível.
- Atualizar o ambiente Java usado no aplicativo ou remover os certificados raiz afetados do repositório de confiança caso a atualização direta do produto não seja possível.
A empresa enfatizou que desativar completamente a validação de certificados ou enfraquecer os mecanismos de validação como solução temporária não é recomendado de forma alguma. As equipes continuam a revisar a confiabilidade dos certificados e a preparar mais correções para serem disponibilizadas por meio de notas de lançamento e avisos de segurança.