Компания JetBrains реагирует на широкомасштабный инцидент безопасности, затронувший центр сертификации eMudhra, который влияет на доверие к сертификатам в различных программных продуктах и средах разработки, включая ряд ключевых продуктов компании. Команды безопасности и продуктов компании оценивают масштаб влияния и выпускают необходимые обновления для устранения этой уязвимости.
Подробности инцидента сводятся к тому, что исследователь безопасности обнаружил уязвимость в способе генерации закрытых ключей, связанных с восемью промежуточными сертификатами eMudhra. Это может позволить злоумышленнику создавать сертификаты, которые кажутся доверенными для систем, продолжающих принимать эти затронутые цепочки. Хотя операционные системы, браузеры и другие продукты приняли меры по блокировке соответствующих сертификатов, приложения, использующие раздельные или встроенные хранилища доверенных сертификатов, требуют дополнительных обновлений.
Влияние на продукты JetBrains
Компания подтвердила, что проблема затрагивает ее разнообразный портфель продуктов, включая интегрированные среды разработки (IDE), приложение Toolbox App, серверы TeamCity, YouTrack, Hub и другие инструменты для разработчиков. Стоит отметить, что среда выполнения многих продуктов JetBrains, как настольных, так и локальных или облачных служб, работает на Java, включая JetBrains Runtime — собственную сборку среды выполнения Java от компании, которая доверяла затронутым сертификатам точно так же, как и другие среды.
Компания уделяет первоочередное внимание краткосрочному устранению уязвимостей на основе уровня риска и потенциального влияния на клиентов, выпуская обновления последовательно. Что касается облачных служб, таких как JetBrains AI, Qodana Cloud, TeamCity Cloud и YouTrack Cloud, компания приступила к обновлению своей инфраструктуры напрямую без необходимости вмешательства со стороны пользователей, за исключением клиентов TeamCity Cloud, использующих локальные агенты сборки (Self-hosted build agents), которым необходимо обновить свою среду Java.
Что делать пользователям?
Компания рекомендует разработчикам и пользователям предпринять немедленные практические шаги для обеспечения безопасности, в том числе:
- Устанавливать доступные обновления безопасности для продуктов JetBrains по мере их выхода.
- Поддерживать операционные системы и среды выполнения в актуальном состоянии, применяя новейшие обновления, включая обновления хранилища доверенных сертификатов.
- Следовать инструкциям для конкретного продукта, если прямое обновление безопасности еще недоступно.
- Обновить среду Java, используемую в приложении, или удалить затронутые корневые сертификаты из хранилища доверенных сертификатов, если прямое обновление продукта невозможно.
Компания подчеркнула, что полное отключение проверки сертификатов или ослабление механизмов проверки в качестве временного решения категорически не рекомендуется. Рабочие группы продолжают проверять доверие к сертификатам и готовить дополнительные исправления, которые будут предоставляться через примечания к выпускам и бюллетени безопасности.