JetBrains 2. jūlijā izlaida drošības labojumus vairākiem tās izstrādes rīkiem, un smagākais no tiem, CVE-2026-56141, ļauj neautentificētam uzbrucējam pārņemt jebkuru kontu, ieskaitot administratora, vienkārši uzminot konta atjaunošanas kodu. Cēlonis ir vājš nejaušo skaitļu ģenerators: atjaunošanas kodi bija pietiekami paredzami, lai tos varētu izspiest ar brutālu spēku. Ievainojamību novērtēja kritiskajā līmenī ar CVSS 9,8.
Problēma sākotnēji atklāta JetBrains Hub — vienotās autentifikācijas komponentē, uz kuras balstās YouTrack un citi uzņēmuma rīki. Tā kā Hub pārvalda kontus vairākiem produktiem, viena vieta ar sliktu nejaušību atver durvis uz plašāku infrastruktūru.
Kas tieši ir salauzts
JetBrains vienā partijā aizvēra vairākas atsevišķas kļūdas. Papildus CVE-2026-56141 ir CVE-2026-56142, kas ļauj jau autentificētam lietotājam paaugstināt savas tiesības, manipulējot ar piesaistītajiem autentifikācijas ierakstiem. Trešā, CVE-2026-50242, apiet autentifikāciju caur tiešu piekļuvi datubāzei un skar arī YouTrack: uzbrucējs var sasniegt aizsargātas funkcijas, apejot lietojumprogrammas loģiku.
Kļūdas neaprobežojas ar Hub. IntelliJ IDEA saņēma labojumu attālinātai koda izpildei (CVE-2026-49382), ko izraisīja veidņu injekcija Copyright spraudnī. GoLand apstrādāja neuzticamus projekta konfigurācijas failus tā, ka to atvēršana varēja palaist svešu kodu. Kotlin būvēšanas kešatmiņas metadatos bija nedroša deserializācija, bet TeamCity — koda izpildes caurums Perforce savienojuma iestatījumos. Sīkāku sarakstu JetBrains publicē savā novērsto drošības problēmu lapā.
Kāpēc IDE ievainojamība ir sliktāka nekā izklausās
Izstrādātāja darbstacijā glabājas SSH atslēgas, API marķieri, mākoņa akreditācijas dati un piekļuve izvietošanas konveijeriem. Kad koda izpildi var panākt, atverot projektu vai spraudni, viens uzlauzts dators kļūst par ceļu uz repozitorijiem un produkcijas vidēm.
Kompromitēts izstrādes rīks dod uzbrucējam to pašu, kas ir izstrādātājam: pirmkodu, noslēpumus un tiesības to visu izmainīt.
Hub gadījumā bīstamība ir citāda. Uzņēmumi to izvieto paši savos serveros, un daudzi šādi instalējumi ir sasniedzami no iekšējā tīkla vai pat interneta. Neautentificēta konta pārņemšana nozīmē, ka uzbrucējam nav vajadzīga neviena parole, lai iekļūtu projektu pārvaldībā vai CI sistēmā.
Kuri laidieni jāatjaunina
Skartas 2024.–2026. gada laidienu līnijas, tāpēc pat samērā svaigi lokālie instalējumi paliek atvērti, kamēr nav uzlikts jaunākais drošības būvējums. Hub labotā versija ir 2026.1.13757, bet ilgtermiņa atbalsta zaros — 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 un 2024.2.148429.
Mākoņa lietotājiem JetBrains labojumus uzliek pati. Rūpes gulstas uz tiem, kas Hub, YouTrack vai TeamCity darbina savā infrastruktūrā — tur jaunināšana jāveic manuāli. Ziņas par uzlaušanu savvaļā līdz šim nav; JetBrains norāda, ka aktīva izmantošana nav apstiprināta. Kļūdas atklāja neatkarīgi pētnieki Ngoc Thuan un Tuan Anh Lai un ziņoja tās pa atbildīgo kanālu, kā aprakstīts GBHackers analīzē.
Ko darīt tagad
Ja tu pārvaldi lokālu Hub, YouTrack vai TeamCity, pārbaudi versiju un uzliec drošības būvējumu. Vēlams arī atsaukt un atkārtoti izsniegt atjaunošanas kodus un sesijas marķierus, jo CVE-2026-56141 vājums nozīmē, ka agrāk ģenerētie kodi joprojām varēja būt paredzami. Darbstaciju IDE — IntelliJ IDEA, GoLand un pārējiem — palīdz automātiskie atjauninājumi, taču spraudņu un projektu atvēršana no neuzticamiem avotiem ir jāsamazina, kamēr labojums nav uzlikts. Tehnisko sadalījumu pa produktiem apkopo arī Cyber Security News.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.