JetBrains, eMudhra sertifika otoritesini etkileyen ve aralarında şirketin temel ürünlerinin de bulunduğu birçok yazılım ve geliştirme ortamında sertifika güvenini ilgilendiren geniş kapsamlı güvenlik krizine yanıt veriyor. Şirketin güvenlik ve ürün ekipleri, etkiyi değerlendiriyor ve bu açığı gidermek için gerekli güncellemeleri yayınlıyor.
Olayın detayları, bir güvenlik araştırmacısının eMudhra'ya ait sekiz ara sertifikayla ilişkili özel anahtarların oluşturulma biçiminde bir zayıflık keşfetmesiyle ortaya çıktı. Bu durum, potansiyel bir saldırganın, söz konusu etkilenen zincirleri kabul etmeye devam eden sistemler nezdinde güvenilir görünen sertifikalar oluşturmasına olanak tanıyabilir. İşletim sistemleri, ürünler ve tarayıcılar söz konusu sertifikaları engellemek için harekete geçse de, ayrı veya yerleşik güven depoları kullanan uygulamalar ek güncellemeler gerektirmektedir.
JetBrains Ürünleri Üzerindeki Etkisi
Şirket, sorunun Entegre Geliştirme Ortamları (IDE'ler), Toolbox App, TeamCity sunucuları, YouTrack, Hub ve diğer geliştirici araçları dahil olmak üzere çeşitli ürün paketini etkilediğini doğruladı. Birçok masaüstü, şirket içi veya bulut tabanlı JetBrains ürününün çalışma ortamının Java tabanlı olduğu, buna JetBrains Runtime'ın da dahil olduğu belirtilmelidir. Şirketin Java çalışma ortamının bu özel sürümü, tıpkı diğer ortamlar gibi etkilenen sertifikalara tam olarak güveniyordu.
Şirket, risk düzeyine ve müşteriler üzerindeki olası etkiye dayanarak açıkları gidermeye kısa vadede öncelik veriyor ve güncellemeleri sırayla yayınlıyor. JetBrains Air, Qodana Cloud, TeamCity Cloud ve YouTrack Cloud gibi bulut hizmetleri için ise şirket, kullanıcı müdahalesine gerek kalmaksızın altyapısını doğrudan güncellemeyi başlattı. Bunun tek istisnası, yerleşik derleme aracilari (Self-hosted build agents) kullanan ve Java ortamlarını güncellemeleri gereken TeamCity Cloud müşterileridir.
Kullanıcılar Ne Yapmalı?
Şirket, geliştiricilere ve kullanıcılara güvenlik sağlamak için acil pratik adımlar atmalarını tavsiye ediyor ve şunları içeriyor:
- JetBrains ürünleri için mevcut olan güvenlik güncellemelerinin yayınlanır yayınlanmaz yüklenmesi.
- İşletim sistemlerinin ve çalışma ortamlarının güncel tutulması, güven sertifikası deposu güncellemeleri dahil en son güncellemelerin uygulanması.
- Doğrudan güvenlik güncellemesinin henüz mevcut olmadığı durumlarda her ürüne özel talimatların takip edilmesi.
- Uygulamada kullanılan Java ortamının güncellenmesi veya ürünün doğrudan güncellenmesinin mümkün olmadığı durumlarda etkilenen kök sertifikaların güven deposundan kaldırılması.
Şirket, geçici bir çözüm olarak sertifika doğrulamasının tamamen devre dışı bırakılmasının veya doğrulama mekanizmalarının zayıflatılmasının kesinlikle önerilmediğini vurguladı. Çalışma ekipleri, sertifika güvenini incelemeye ve sürüm notları ile güvenlik bildirimleri aracılığıyla sağlanmak üzere daha fazla düzeltme hazırlamaya devam ediyor.