9.4критическая

BDU:2024-04477

Опубликовано: 2024-06-13

Уязвимость плагина JetBrains GitHub интегрированных сред разработки программного обеспечения JetBrains Aqua, CLion, DataGrip, DataSpell, GoLand, IntelliJ IDEA, MPS, PhpStorm, PyCharm, Rider, RubyMine, RustRover, WebStorm связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии путём получения токена доступа

Aqua (до 2024.1.2)Clion (до 2023.1.7)Clion (от 2023.2.0 до 2023.2.4)Clion (от 2023.3.0 до 2023.3.5)Clion (от 2024.1.0 до 2024.1.3)Datagrip (от 2023.1.0 до 2023.1.3)Datagrip (от 2023.2.0 до 2023.2.4)Datagrip (от 2023.3.0 до 2023.3.5)Datagrip (от 2024.1.0 до 2024.1.4)Dataspell (до 2023.1.6)Dataspell (от 2023.2.0 до 2023.2.7)Dataspell (от 2023.3.0 до 2023.3.6)Dataspell (от 2024.1.0 до 2024.1.2)Goland (до 2023.1.6)Goland (от 2023.2.0 до 2023.2.7)Goland (от 2023.3.0 до 2023.3.7)Goland (от 2024.1.0 до 2024.1.3)IntelliJ IDEA (до 2023.1.7)IntelliJ IDEA (от 2023.2.0 до 2023.2.7)IntelliJ IDEA (от 2023.3.0 до 2023.3.7)IntelliJ IDEA (от 2024.1.0 до 2024.1.3)mps (до 2023.2.1)mps (2023.3.0)PHPStorm (до 2023.1.6)PHPStorm (от 2023.2.0 до 2023.2.6)PHPStorm (от 2023.3.0 до 2023.3.7)PHPStorm (от 2024.1.0 до 2024.1.3)PYCharm (до 2023.1.6)PYCharm (от 2023.2.0 до 2023.2.7)PYCharm (от 2023.3.0 до 2023.3.6)

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- отзыв токенов доступа GitHub, используемые плагином;
- отмена доступа к приложению интеграции JetBrains IDE;
- удаление токена, выданного для плагина;
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа.

Использование рекомендаций производителя:
https://www.jetbrains.com/privacy-security/issues-fixed/