Уязвимости в механизма за автоматично обновление на Apache NetBeans

Разкрита информация за две уязвимости в системата за автоматично доставяне на актуализации за интегрираната среда за разработка Apache NetBeans, което позволява подмяна на предаваните от сървъра актуализации и nbm пакети. Проблемите бяха отстранени в версия Apache NetBeans 11.3.

Първата уязвимост (CVE-2019-17560) е причинена от липсата на проверка на SSL сертификати и името на хоста при зареждане на данни през HTTPS, което позволява незабележима подмяна на зарежданите данни. Втората уязвимост (CVE-2019-17561) е свързана с непълна проверка на зареденото обновление по цифрова подписка, което позволява на атакуващия да добави допълнителен код в nbm файловете без нарушаване на целостта на пакета.

Източник: opennet.ru