Η JetBrains προειδοποίησε τους πελάτες να επιδιορθώσουν ένα κρίσιμο σφάλμα που επηρεάζει τους χρήστες των εφαρμογών του ολοκληρωμένου περιβάλλοντος ανάπτυξης IntelliJ (IDE) και εκθέτει τα access tokens του GitHub.
Δείτε επίσης: Η JetBrains διευκρινίζει τα σχέδιά της για την ενσωμάτωση εξαρτήσεων στο Ktor
Γνωστό ως CVE-2024-37051, αυτό το σφάλμα επηρεάζει όλα τα IDE που βασίζονται σε IntelliJ από το 2023.1 και μετά, όπου η προσθήκη JetBrains GitHub είναι ενεργοποιημένη και configured/used.
«Στις 29 Μαΐου 2024 λάβαμε μια έκθεση εξωτερικής ασφάλειας με λεπτομέρειες για ένα πιθανό ελάττωμα που θα επηρεάσει τα αιτήματα έλξης εντός του IDE», δήλωσε ο Ilya Pleskunin, επικεφαλής της ομάδας υποστήριξης ασφαλείας της JetBrains.
Η JetBrains κυκλοφόρησε ενημερώσεις ασφαλείας που αντιμετωπίζουν αυτήν την κρίσιμη ευπάθεια σε IDE που επηρεάζονται, έκδοση 2023.1 ή μεταγενέστερη. Η εταιρεία έχει επίσης διορθώσει το ευάλωτο πρόσθετο JetBrains GitHub και έκτοτε έχει αφαιρέσει όλες τις εκδόσεις που είχαν επηρεαστεί στο παρελθόν από την επίσημη αγορά plugin της.
Η πλήρης λίστα των επιδιορθωμένων εκδόσεων για το σφάλμα JetBrains IntelliJ IDE περιλαμβάνει:
- Aqua: 2024.1.2
- CLion: 2023.1.7, 2023.2.4, 2023.3.5, 2024.1.3, 2024.2 EAP2
- DataGrip: 2024.1.4
- DataSpell: 2023.1.6, 2023.2.7, 2023.3.6, 2024.1.2
- GoLand: 2023.1.6, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP3
- IntelliJ IDEA: 2023.1.7, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP3
- MPS: 2023.2.1, 2023.3.1, 2024.1 EAP2
- PhpStorm: 2023.1.6, 2023.2.6, 2023.3.7, 2024.1.3, 2024.2 EAP3
- PyCharm: 2023.1.6, 2023.2.7, 2023.3.6, 2024.1.3, 2024.2 EAP2
- Αναβάτης: 2023.1.7, 2023.2.5, 2023.3.6, 2024.1.3
- RubyMine: 2023.1.7, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP4
- RustRover: 2024.1.1
- WebStorm: 2023.1.6, 2023.2.7, 2023.3.7, 2024.1.4
Δείτε ακόμα: Οι νέες επιθέσεις Gitloker διαγράφουν τα repos του GitHub
Εκτός από την εργασία της πάνω σε μια επιδιόρθωση ασφαλείας, η JetBrains επικοινώνησε με το GitHub για να βοηθήσει στην ελαχιστοποίηση των επιπτώσεων. Λόγω των μέτρων που εφαρμόστηκαν κατά τη διαδικασία μετριασμού του σφάλματος, η προσθήκη JetBrains GitHub ενδέχεται να μην λειτουργεί όπως αναμένεται σε παλαιότερες εκδόσεις των JetBrains IDE.
Η JetBrains συμβούλευσε επίσης τους πελάτες που έχουν χρησιμοποιήσει ενεργά τη λειτουργία αιτήματος έλξης GitHub σε IntelliJ IDE να ανακαλέσουν τυχόν διακριτικά GitHub που χρησιμοποιούνται από την ευάλωτη προσθήκη, καθώς θα μπορούσαν να παρέχουν στους πιθανούς εισβολείς πρόσβαση στους συνδεδεμένους λογαριασμούς GitHub, ακόμη και με την πρόσθετη προστασία δύο παραγόντων αυθεντικοποίηση.
Επιπλέον, εάν η προσθήκη χρησιμοποιήθηκε με ενσωμάτωση OAuth ή Προσωπικό διακριτικό πρόσβασης (PAT), θα πρέπει επίσης να ανακαλέσει την πρόσβαση για την εφαρμογή JetBrains IDE Integration και να διαγράψει το διακριτικό προσθήκης ενσωμάτωσης IntelliJ IDEA GitHub.
Δείτε επίσης: Το GitHub προειδοποιεί για ελάττωμα auth bypass SAML
Ένα κρίσιμο σφάλμα στα συστήματα λογισμικού, όπως αυτό στο JetBrains IntelliJ IDE, μπορεί να θέσει σημαντικούς κινδύνους τόσο για οργανισμούς όσο και για άτομα. Τέτοιες ευπάθειες συχνά προκύπτουν από ελαττώματα στον κώδικα ή το σχεδιασμό, τα οποία μπορούν να χρησιμοποιηθούν από κακόβουλους παράγοντες για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση, να κλέψουν ευαίσθητες πληροφορίες ή να διακόψουν τις υπηρεσίες. Η άμεση αντιμετώπιση κρίσιμων ελαττωμάτων είναι απαραίτητη για τη διατήρηση της ασφάλειας και της λειτουργικής ακεραιότητας. Αυτό συνήθως περιλαμβάνει την ανάπτυξη ενημερώσεων κώδικα ασφαλείας, συνεχή παρακολούθηση και ισχυρές στρατηγικές αντιμετώπισης περιστατικών για τον αποτελεσματικό μετριασμό των πιθανών επιπτώσεων.
Πηγή: bleepingcomputer
.){kind=link}