פגיעויות במנגנון העדכון האוטומטי של Apache NetBeans

מידע נחשף על שתי נקודות תורפה במערכת מסירה אוטומטית של עדכונים עבור סביבת הפיתוח המשולבת Apache NetBeans, המאפשרות לזייף עדכונים וחבילות nbm הנשלחות מהשרת. הבעיות תוקנו בשקט במהדורה אפאצ'י NetBeans 11.3.

פגיעות ראשונה (CVE-2019-17560) נגרמת מחוסר אימות של תעודות SSL ושמות מארח בעת הורדת נתונים דרך HTTPS, מה שמאפשר לזייף בחשאי את הנתונים שהורדת. פגיעות שנייה (CVE-2019-17561) קשורה לאימות לא מלאה של עדכון שהורד באמצעות חתימה דיגיטלית, המאפשרת לתוקף להוסיף קוד נוסף לקבצי nbm מבלי לפגוע בשלמות החבילה.

מקור: OpenNet.ru