Ранливост во механизмот за автоматско ажурирање на Apache NetBeans

Откриени информации околу две пропусти во системот за автоматска испорака на ажурирања за интегрираната развојна околина Apache NetBeans, кои овозможуваат измама на ажурирања и nbm пакети испратени од серверот. Проблемите беа тивко поправени во изданието Apache NetBeans 11.3.

Првата ранливост (CVE-2019-17560) е предизвикано од недостаток на верификација на SSL сертификатите и имињата на домаќините при преземање податоци преку HTTPS, што овозможува тајно да се измамат преземените податоци. Втора ранливост (CVE-2019-17561) е поврзана со нецелосна проверка на преземеното ажурирање со помош на дигитален потпис, што му овозможува на напаѓачот да додаде дополнителен код во датотеките nbm без да го загрози интегритетот на пакетот.

Извор: opennet.ru