Apache NetBeans ഓട്ടോ-അപ്‌ഡേറ്റ് മെക്കാനിസത്തിലെ കേടുപാടുകൾ

വിവരങ്ങൾ വെളിപ്പെടുത്തി Apache NetBeans ഇന്റഗ്രേറ്റഡ് ഡെവലപ്‌മെന്റ് എൻവയോൺമെന്റിനായുള്ള അപ്‌ഡേറ്റുകളുടെ ഓട്ടോമാറ്റിക് ഡെലിവറി സിസ്റ്റത്തിലെ രണ്ട് കേടുപാടുകൾ, ഇത് സെർവർ അയച്ച അപ്‌ഡേറ്റുകളും nbm പാക്കേജുകളും കബളിപ്പിക്കുന്നത് സാധ്യമാക്കുന്നു. റിലീസിൽ പ്രശ്‌നങ്ങൾ ശാന്തമായി പരിഹരിച്ചു അപ്പാച്ചെ നെറ്റ്ബിൻസ് 11.3.

ആദ്യത്തെ ദുർബലത (CVE-2019-17560) HTTPS വഴി ഡാറ്റ ഡൗൺലോഡ് ചെയ്യുമ്പോൾ SSL സർട്ടിഫിക്കറ്റുകളുടെയും ഹോസ്റ്റ് നെയിമുകളുടെയും പരിശോധനയുടെ അഭാവം മൂലമാണ്, ഇത് ഡൗൺലോഡ് ചെയ്ത ഡാറ്റ രഹസ്യമായി കബളിപ്പിക്കുന്നത് സാധ്യമാക്കുന്നു. രണ്ടാമത്തെ ദുർബലത (CVE-2019-17561) ഒരു ഡിജിറ്റൽ സിഗ്നേച്ചർ ഉപയോഗിച്ച് ഡൗൺലോഡ് ചെയ്‌ത അപ്‌ഡേറ്റിന്റെ അപൂർണ്ണമായ സ്ഥിരീകരണവുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, ഇത് പാക്കേജിന്റെ സമഗ്രതയിൽ വിട്ടുവീഴ്ച ചെയ്യാതെ nbm ഫയലുകളിലേക്ക് കൂടുതൽ കോഡ് ചേർക്കാൻ ആക്രമണകാരിയെ അനുവദിക്കുന്നു.

അവലംബം: opennet.ru