о двух уязвимостях в системе автоматической доставки обновлений для интегрированной среды разработки Apache NetBeans, позволяющих подменить отдаваемые сервером обновления и nbm-пакеты. Проблемы без лишней огласки были устранены в выпуске .
(CVE-2019-17560) вызвана отсутствием проверки SSL-сертификатов и имени хоста при загрузке данных через HTTPS, что даёт возможность незаметно подменить загружаемые данные. (CVE-2019-17561) связана с неполноценной проверкой загруженного обновления по цифровой подписи, что позволяет атакующему добавить в nbm-файлы дополнительный код без нарушения целостности пакета.
Fonte: opennet.ru
