JetBrains 2. jūlijā izlaida ielāpus veselam kļūdu pušķim, un lielākajai daļai uzbrukuma sākumpunkts ir viena parasta darbība — projekta atvēršana redaktorā. IntelliJ IDEA gadījumā pietiek ar to, ka izstrādātājs atver repozitoriju ar sagatavotu .idea/copyright/ profilu, un IDE izpilda tajā ieliktu Java kodu ar paša lietotāja tiesībām. Servera pusē kļūda CVE-2026-50242 dod administratora piekļuvi Hub instancei bez paroles un bez tokena. JetBrains tai piešķīra CVSS 10.0.
Divas nedēļas vēlāk, 14. jūlijā, sarakstam pievienojās vēl viena kļūda — Microsoft brīdināja par caurumu GitHub Copilot spraudnī JetBrains redaktoriem. Kopā ar pirmo partiju sanāk viens stāsts: rīki, kuros izstrādātāji pavada visu darba dienu, uzticējās projekta failiem vairāk, nekā drīkstēja.
Atver projektu — un kods jau darbojas
Smagākā no darbstacijas kļūdām ir CVE-2026-49382 (CVSS 7.8). Copyright spraudnis ģenerē autortiesību galvenes no šablona. Šablona apstrāde neatdalīja speciālos elementus, tāpēc profilā, kas glabājas .idea/copyright/, var ielikt izteiksmes, kuras izsauc Java klases Runtime vai ProcessBuilder. Uzbrucējam atliek iepakot ļaunprātīgu profilu repozitorijā; kad izstrādātājs projektu atver, kods izpildās. Salabots IntelliJ IDEA 2026.1, skar gan Community, gan Ultimate izdevumu.
Tajā pašā redaktorā aizvērtas vēl divas kļūdas versijā 2026.1.1. CVE-2026-49366 ir komandu injekcija caur faila nosaukuma automātisko pabeigšanu. CVE-2026-49367 ļauj Code With Me sesijas viesim izpildīt komandas uz saimniekdatora, lai gan viesim tādu tiesību nevajadzēja būt.
Šeit svarīga viena tehniska detaļa. PyCharm, WebStorm, GoLand, Rider, PhpStorm, CLion, DataGrip un RubyMine ir būvēti uz tās pašas IntelliJ platformas kā IntelliJ IDEA, tāpēc platformas līmeņa labojumi aiziet uz visu darbvirsmas klāstu, tiklīdz katrs redaktors saņem savu 2026.1.1 būvējumu. Viena kļūda kodola bibliotēkā nozīmē atjauninājumu desmit produktos.
Aina atkārtojas arī atsevišķos produktos. GoLand kļūda CVE-2026-53915 dod attālinātu koda izpildi, kad tiek ielādēta neuzticama projekta konfigurācija; labots versijā 2026.1.3. Kotlin gadījumā problēma ir nedroša deserializācija būvēšanas keša metadatos — īpaši sagatavoti dati keša failā izraisa patvaļīgu koda izpildi nākamajā būvē. Katrā gadījumā robeža, kurai vajadzēja aizsargāt datoru, ir pats projekta katalogs.
Izstrādes rīks atver failus, kurus rakstījis kāds cits, un daļu no tiem apstrādā kā konfigurāciju, nevis kā tekstu. Tieši tur šī jūlija partija atrada ceļu iekšā.
Servera pusē — piekļuve bez paroles
CVE-2026-50242 ir bīstamākā visā partijā. Kļūda klasificēta kā CWE-306 (trūkstoša autentifikācija kritiskai funkcijai): uzbrucējs tīklā piekļūst datubāzes līmenim tieši un apiet autentifikācijas slāni pilnībā. JetBrains kā CNA tai deva CVSS 10.0, NIST — 9.8. Skar pašmitinātas Hub un YouTrack Server instances no versijas 2024.2 līdz 2026.1. Labojums izlaists sešās uzturētajās līnijās uzreiz — 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 un 2024.2.148429 — tāpēc pareizā versija ir atkarīga no tā, kuru līniju administrators tur uz sava servera. Sanjay Seth apraksts to formulē vienkārši: nevajag ne paroli, ne tokenu, ne iepriekšēju piekļuvi.
Blakus tai stāv CVE-2026-56141 (CVSS 9.8). Hub konta atjaunošanas kodus ģenerēja vājš nejaušības avots, tāpēc tos var uzminēt un pārņemt jebkuru kontu. Trešā Hub kļūda, CVE-2026-56142, ļauj paaugstināt tiesības, piesaistot autentifikāciju bez atļaujas. TeamCity saņēma labojumu CVE-2026-49373 (komandu injekcija caur Perforce savienojuma iestatījumiem) un CVE-2026-44413 (API pieejams ārpusē pie noteiktām ugunsmūra konfigurācijām). YouTrack kļūda CVE-2026-33392 apiet smilškastes ierobežojumus un ļauj izpildīt kodu.
Copilot spraudnis pievienojas sarakstam
14. jūlijā Microsoft publicēja brīdinājumu par CVE-2026-50510 (CVSS 7.8) GitHub Copilot spraudnī JetBrains redaktoriem. Kļūda klasificēta kā CWE-641 — nepietiekama resursu nosaukumu pārbaude. Uzbrukuma vektors ir lokāls: izstrādātājam jāatver ļaunprātīgs saturs, piemēram, sagatavots repozitorijs vai pull request. Pēc tam kods izpildās ar paša izstrādātāja identitāti. Skartas visas spraudņa versijas pirms 1.13.0-251, un tas attiecas uz IntelliJ IDEA, PyCharm, WebStorm, Rider un Android Studio.
Vektors ir tas pats, kas iepriekšējās kļūdās: uzbrucējs neuzbrūk tīklam tieši, bet paļaujas, ka izstrādātājs atvērs failu, kas atnācis pa uzticamu kanālu — no repozitorija, koda pārskata vai pakotņu reģistra.
Ko darīt tagad
Darbstacijām jāatjaunina IDE uz laboto laidienu: IntelliJ IDEA 2026.1.1, GoLand 2026.1.3, kā arī GitHub Copilot spraudnis uz 1.13.0-251 vai jaunāku. Šos jauninājumus vērts izstumt katram izstrādātājam neatkarīgi no tā, vai konkrētais dators pieskaras produkcijas sistēmām.
Pašmitinātas Hub, YouTrack un TeamCity instances ir atsevišķa steidzamība. Vairākas no servera kļūdām ekspluatējamas bez autentifikācijas, tāpēc katrs neielāpots serveris internetā ir atvērtas durvis. TeamCity gadījumā jāņem vērā vēl viens slānis: tas ir būvēšanas serveris ar piekļuvi pirmkodam, parakstīšanas atslēgām un izvietošanas konveijeriem, tāpēc komandu injekcija caur Perforce iestatījumiem uzbrucēju noliek tieši CI/CD vidū. Praktiska papildu barjera darbstacijās ir neatvērt neuzticamus projektus ar pilnu redaktora uzticību — JetBrains IDE prasa apstiprinājumu, pirms izpilda projekta konfigurāciju, un šeit tas nozīmē neklikšķināt cauri, kad avots nav skaidrs.
Pašmitinātām Hub un YouTrack instancēm ielāps ir vissteidzamākais: CVE-2026-50242 uzbrucējam nevajag ne paroli, ne iepriekšēju piekļuvi, lai kļūtu par administratoru.
Avoti
- JetBrains — Fixed security issues
- Cyber Security News — Critical JetBrains Vulnerabilities Enable Authentication Bypass and Code Execution
- Cyber Press — JetBrains Patches Authentication Bypass and Code Execution Attacks
- SentinelOne — CVE-2026-49382: IntelliJ IDEA RCE
- Windows News — High-Risk Copilot Flaw in JetBrains IDEs (CVE-2026-50510)
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.