Jetbrains, müşterileri Intellij Entegre Geliştirme Ortamı (IDE) uygulamalarının kullanıcılarını etkileyen ve GitHub erişim belirteçlerini ortaya çıkaran kritik bir güvenlik açığı yaması konusunda uyardı.
CVE-2024-37051 olarak izlenen bu güvenlik kusuru, jetbrains github eklentisinin etkinleştirildiği ve yapılandırıldığı/kullanıldığı/kullanıldığı 2023.1'den itibaren tüm Intellij tabanlı IDE'leri etkiler.
Jetbrains'de bir güvenlik destek ekibi lideri Ilya Pleskunin, "29 Mayıs 2024'te IDE içindeki çekme taleplerini etkileyecek olası bir güvenlik açığının ayrıntılarını içeren harici bir güvenlik raporu aldık." Dedi.
"Özellikle, Intellij tabanlı IDES tarafından ele alınacak bir GitHub projesine çekilen bir talebin parçası olarak kötü niyetli içerik, erişim belirteçlerini üçüncü taraf bir ana bilgisayara maruz bırakacaktır."
JetBrains, etkilenen IDES sürüm 2023.1 veya sonraki sürümdeki bu kritik güvenlik açığını ele alan güvenlik güncellemeleri yayınladı.
Şirket ayrıca savunmasız Jetbrains GitHub eklentisini yamaladı ve o zamandan beri daha önce etkilenen tüm versiyonları resmi eklenti pazarından kaldırdı.
Intellij Ides için sabit sürümlerin tam listesi şunları içerir:
Pleskunin, "En son sürüme güncellemediyseniz, bunu yapmaya şiddetle tavsiye ediyoruz."
Bir güvenlik düzeltmesi üzerinde çalışmanın yanı sıra, Jetbrains etkiyi en aza indirmeye yardımcı olmak için GitHub ile temasa geçti. Azaltma işlemi sırasında uygulanan önlemler nedeniyle, Jetbrains GitHub eklentisi JetBrains IDE'lerinin eski sürümlerinde beklendiği gibi çalışmayabilir.
Jetbrains ayrıca, Intellij Ides'teki Github Plower Talep işlevselliğini, savunmasız eklenti tarafından kullanılan herhangi bir Github jetonunu iptal etmek için aktif olarak kullanan müşterilere, potansiyel saldırganlara iki faktörün ek koruması ile bile bağlantılı Github hesaplarına erişim sağlayabileceği için iptal etmek için önerdi. Kimlik doğrulama.
Ek olarak, eklenti OAuth entegrasyonu veya kişisel erişim belirteci (PAT) ile kullanılmışsa, JetBrains IDE entegrasyon uygulaması için erişimi de iptal etmeli ve Intellij Fikir Github Entegrasyon Eklentisi Tokenini silmelidir.
Pleskunin, "Token iptal edildikten sonra, tüm eklenti özelliklerinin (git işlemleri dahil) çalışmayı bırakacağından eklentiyi tekrar ayarlamanız gerektiğini lütfen unutmayın." Dedi.
Şubat ayında Jetbrains, saldırganların yönetici ayrıcalıkları kazanmasına ve savunmasız TeamCity şirket içi sunucuları devralmasına izin verebilecek olan kamudan istismar kodu ile kritik bir kimlik doğrulama baypas güvenlik açığı konusunda uyardı.
Araştırmacı, bir iş bulmak için popüler paketçi php paketlerini kaçırır
Gitloker, Kötü niyetli OAuth uygulamalarını zorlamak için Github Bildirimleri Kötüye Kullanım Saldırılar
New York Times Kaynak Kodu Tarihli Github jetonu kullanarak çalındı
Yeni Gitloker saldırıları Github depolarını gasp şemasında siliyor
Github, Enterprise Server'daki SAML Auth Bypass kusurunu uyarıyor
Kaynak: Bleeping Computer