Apache NetBeans 자동 업데이트 메커니즘의 취약점

공개된 정보 Apache NetBeans 통합 개발 환경의 자동 업데이트 전달 시스템에 있는 두 가지 취약점에 대해 설명합니다. 이 취약점으로 인해 서버에서 보낸 업데이트와 nbm 패키지를 스푸핑할 수 있습니다. 문제는 릴리스에서 조용히 해결되었습니다. Apache NetBeans 11.3.

첫 번째 취약점 (CVE-2019-17560)은 HTTPS를 통해 데이터를 다운로드할 때 SSL 인증서 및 호스트 이름이 확인되지 않아 다운로드된 데이터를 은밀하게 스푸핑할 수 있기 때문에 발생합니다. 두 번째 취약점 (CVE-2019-17561)은 디지털 서명을 사용하여 다운로드한 업데이트의 불완전한 확인과 관련되어 있습니다. 이를 통해 공격자는 패키지의 무결성을 손상시키지 않고 nbm 파일에 추가 코드를 추가할 수 있습니다.

출처 : opennet.ru