Sårbarheter i autouppdateringsmekanismen för Apache NetBeans

Uppgifter avslöjade om två sårbarheter i systemet för automatisk uppdatering för den integrerade utvecklingsmiljön Apache NetBeans, vilket möjliggör byte av de uppdateringar och nbm-paket som servern levererar. Problemet åtgärdades diskret i versionen Apache NetBeans 11.3.

Första sårbarheten (CVE-2019-17560) orsakas av avsaknaden av validering av SSL-certifikat och värdnamn vid nedladdning av data via HTTPS, vilket ger möjlighet att osynligt byta ut de nedladdade data. Andra sårbarheten (CVE-2019-17561) är relaterad till otillräcklig validering av den nedladdade uppdateringen genom digital signatur, vilket gör att en angripare kan lägga till extra kod i nbm-filer utan att bryta paketets integritet.

Källa: opennet.ru