Уязвимости в механизма за автоматично актуализиране на Apache NetBeans

Разкрита информация за две уязвимости в системата за автоматично доставяне на актуализации за интегрираната среда за разработка Apache NetBeans, които правят възможно подправяне на актуализации и nbm пакети, изпратени от сървъра. Проблемите бяха тихо отстранени в изданието Apache NetBeans 11.3.

Първа уязвимост (CVE-2019-17560) се причинява от липса на проверка на SSL сертификати и имена на хостове при изтегляне на данни през HTTPS, което прави възможно скритото подправяне на изтеглените данни. Втора уязвимост (CVE-2019-17561) е свързано с непълна проверка на изтеглена актуализация с помощта на цифров подпис, което позволява на атакуващ да добави допълнителен код към nbm файлове, без да компрометира целостта на пакета.

Източник: opennet.ru