Apache NetBeansi automaatvärskenduse mehhanismi haavatavused

Paljastatud andmed kahest haavatavusest Apache NetBeansi integreeritud arenduskeskkonna automaatsete värskenduste tarne süsteemis, mis lubavad serveri poolt edastatavaid värskendusi ja nbm-pakette valeandmete edastamiseks. Probleemid kõrvaldatakse ilma suurema kõmakata väljaandes Apache NetBeans 11.3.

Esimene haavatavus (CVE-2019-17560) on tingitud SSL-sertifikaatide ja hostinime kontrollimise puudumisest andmete allalaadimisel HTTPS-i kaudu, mis võimaldab märkamatult allalaaditud andmeid asendada. Teine haavatavus (CVE-2019-17561) on seotud allalaaditud värskenduse ebatäieliku kontrollimisega digitaalse signeeringu kaudu, mis lubab ründajal lisada nbm-failidesse täiendavat koodi, rikkumata paketi terviklikkust.

Allikas: opennet.ru