अपाचे नेटबीन्स ऑटो-अपडेट तंत्र में कमजोरियाँ

जानकारी का खुलासा अपाचे नेटबीन्स एकीकृत विकास वातावरण के लिए अपडेट की स्वचालित डिलीवरी प्रणाली में दो कमजोरियां हैं, जो सर्वर द्वारा भेजे गए अपडेट और एनबीएम पैकेज को धोखा देना संभव बनाती हैं। रिलीज़ में समस्याओं को चुपचाप ठीक कर दिया गया अपाचे नेटबींस 11.3.

पहली भेद्यता (सीवीई-2019-17560) एचटीटीपीएस पर डेटा डाउनलोड करते समय एसएसएल प्रमाणपत्रों और होस्टनामों के सत्यापन की कमी के कारण होता है, जिससे डाउनलोड किए गए डेटा को गुप्त रूप से धोखा देना संभव हो जाता है। दूसरी भेद्यता (CVE-2019-17561) डिजिटल हस्ताक्षर के विरुद्ध डाउनलोड किए गए अपडेट के अधूरे सत्यापन से जुड़ा है, जो एक हमलावर को पैकेज की अखंडता से समझौता किए बिना एनबीएम फ़ाइलों में अतिरिक्त कोड जोड़ने की अनुमति देता है।

स्रोत: opennet.ru