JetBrains, aralarında entegre geliştirme ortamları, Araç Kutusu Uygulaması (Toolbox App), Gateway ve .NET araçlarının da bulunduğu geliştirme araçları paketini ve yazılım ortamlarını etkileyen kritik güvenlik güncellemelerinin yayınlandığını duyurdu. Bu adım, eMudhra yetkilisinden verilen sekiz ara sertifikanın özel anahtarlarının ele geçirildiğinin keşfedilmesinin ardından atıldı.
Güvenlik Tehdidinin Doğası ve Çalışma Ortamlarına Etkisi
Bu ihlal, ağ trafiklerini izleyen bir saldırganın JetBrains araçlarının bağlandığı web sitelerinin ve hizmetlerin kimliğine bünme potansiyeli taşıması nedeniyle olası bir tehlike oluşturmaktadır. Geliştirme ortamları ve Araç Kutusu Uygulaması, JetBrains gömülü çalışma ortamının güvenilir depolama alanına güvendiğinden, yalnızca işletim sistemi güncellemeleri kullanıcıları bu risklerden korumak için yeterli değildir.
Şirket, çalışma ortamını güncellemek suretiyle sorunu çözmek için Oracle'ın açıklarla ilgili düzeltmelerini entegre etmiş, ayrıca güvenilir sertifikalar için özel bir depolama alanına sahip olan arka plan hizmeti (jetbrainsd) için ayrı güncellemeler sağlamıştır. Şirket, yayın anına kadar kullanıcılarına karşı bu açığın fiilen kötüye kullanımının tespit edilmediğini teyit ederken, acil önlemler alınmasının gerekliliğini vurguladı.
Pratikte Ne Değişiyor?
Geliştiricilerin ve kullanıcıların çalışma ortamlarının güvenliğini sağlamak için pratik adımlar atmaları gerekmektedir ve bu adımlar şunları içerir:
- IntelliJ IDEA, PyCharm, Rider ve diğer araçlar gibi entegre geliştirme ortamlarının (IDE) yeni güvenli sürümlere güncellenmesi.
- Araç Kutusu Uygulamasının (Toolbox App) güncel sürümlere güncellenmesi ve düzeltme almayacak eski sürümlerden kaçınılması.
- Doğrudan uygulama güncellemesinde zorluk yaşayanlar için arka plan hizmetinin (jetbrainsd) güncellenmesi ve 0.9.9728 veya daha yeni bir sürümün yüklenmesi.
- Doğrudan güncellemenin mümkün olmadığı durumlarda, etkilenen kök sertifikaların manuel olarak kaldırılmasını ve gerektiğinde gömülü tarayıcının devre dışı bırakılmasını içeren alternatif adımların izlenmesi.
Destek Prosedürleri ve Geçici Alternatifler
JetBrains, 2025 yılında ve öncesinde yayınlanan eski sürümlerin bu sorun için güncelleme almayacağını, bunun da kullanıcıları desteklenen sürümlere geçmeye mecbur bıraktığını açıkladı. Doğrudan güncellemenin yapılamadığı durumlarda şirket, Java ortamı komut satırı araçları kullanılarak sertifika listesinin manuel olarak temizlenmesine yönelik bir kılavuz sunmuş ve bununla birlikte bunlarla ilgili olası açıkları önlemek için gömülü JCEF tarayıcısının nasıl devre dışı bırakılacağını açıklamıştır.