Компания JetBrains объявила о доступности критических обновлений безопасности, затрагивающих ее набор инструментов разработки и программные среды, включая интегрированные среды разработки, приложение Toolbox App, Gateway и инструменты .NET, после обнаружения компрометации закрытых ключей восьми промежуточных сертификатов, выданных центром сертификации (eMudhra).
Характер угрозы безопасности и ее влияние на рабочие среды
Эта компрометация представляет потенциальную опасность из-за возможности сетевого злоумышленника, отслеживающего трафик, выдавать себя за сайты и службы, с которыми связываются инструменты JetBrains. Поскольку среды разработки и приложение Toolbox App полагаются на хранилище доверенных сертификатов встроенной среды выполнения JetBrains, одних обновлений операционной системы недостаточно для защиты пользователей от этих рисков.
Компания интегрировала исправления Oracle, связанные с уязвимостями, для решения проблемы путем обновления среды выполнения, а также предоставила отдельные обновления для фоновой службы (jetbrainsd), которая имеет собственное хранилище доверенных сертификатов. Хотя компания подтвердила, что на момент публикации не было зафиксировано ни одного случая фактического использования этой уязвимости против ее пользователей, она подчеркнула необходимость принятия немедленных мер.
Что меняется на практике?
Разработчики и пользователи должны предпринять практические шаги для обеспечения безопасности своих рабочих сред, которые включают:
- Обновление интегрированных сред разработки, таких как IntelliJ IDEA, PyCharm, Rider и других инструментов, до новых безопасных версий.
- Обновление приложения Toolbox App до современных версий и отказ от старых версий, которые не будут получать исправления.
- Обновление фоновой службы (jetbrainsd) и установку версии 0.9.9728 или новее для тех, кто сталкивается с трудностями при прямом обновлении приложений.
- Следование альтернативным шагам в случае невозможности немедленного обновления, которые включают ручное удаление затронутых корневых сертификатов и отключение встроенного браузера при необходимости.
Меры поддержки и временные альтернативы
Компания JetBrains пояснила, что старые версии, выпущенные в 2025 году и ранее, не будут получать обновления для этой проблемы, что обязывает пользователей перейти на поддерживаемые версии. В тех случаях, когда прямое обновление выполнить невозможно, компания предоставила руководство по ручной очистке списка сертификатов с использованием инструментов командной строки среды Java, а также объяснила, как отключить встроенный браузер JCEF во избежание связанных с ним уязвимостей.