Обращаем ваше внимание, что мы только что выпустили обновление всех наших IDE на базе платформы IntelliJ (как недавно выпущенной 2016.1 версии, так и старых). Причина — найденная уязвимость в самой платформе. Обновления и патчи уже доступны.
Нам неизвестно ни одного случая использования найденных проблем, но мы настоятельно рекомендуем всем нашим пользователям обновить затронутые IDE как можно скорее.
Ниже читайте описание проблемы и короткую инструкцию, что делать дальше.
Уязвимость, связанная со встроенным веб-сервером
Встроенный в IDE веб-сервер мог быть атакован с помощью межсайтовой подделки запроса (cross-site request forgery flaw). В результате злоумышленники могли получить доступ к локальной файловой системе пользователя без его ведома с помощью сайта, созданного злоумышленником.
Уязвимость, связанная со внутренними вызовами RPC
Недостаточно ограниченная политика CORS (Cross-origin resource sharing) давала злоумышленнику возможность получить доступ к вызовам внутренного API, данным, которые хранит IDE, а также к различной информации о самой IDE (как то ее версия), помимо этого появлялась возможность открывать проекты.
Что делать?
Чтобы установить обновление, запустите 'Check for Updates' или скачайте актуальную версию нужного вам продукта с сайта www.jetbrains.com.
Если вы используете одну из старых версий, перейдите на одну из страниц со старыми версиями из списка ниже:
- AppCode
- CLion
- DataGrip — пожалуйста, скачивайте последнюю версию с сайта продукта
- IntelliJ IDEA
- MPS
- PhpStorm
- PyCharm
- PyCharm Edu — пожалуйста, скачивайте последнюю версию с сайта продукта
- Rider — несколько дней назад вы должны были получить электронное письмо со ссылкой на скачивание обновления
- RubyMine
- WebStorm
Обращаем ваше внимание, что проблема не затронула другие наши продукты, которые не основаны на платформе IntelliJ, а именно: ReSharper, ReSharper C++, dotCover, dotMemory, dotTrace, dotPeek, TeamCity, YouTrack, Upsource и Hub.
Чуть больше деталей можно найти в посте в нашем англоязычном блоге. И, конечно, мы рады ответить на любые ваши вопросы в комментариях.
Спасибо за понимание!
Ваша Команда JetBrains
Комментарии (16)
mais
11.05.2016 19:59никогда не использовал встроенный веб сервер
anastasiak2512
11.05.2016 20:02К сожалению, проблема могла возникнуть, даже если вы просто запустили IDE.
madkite
12.05.2016 02:08+1Э… А можно подробнее? Когда я запускаю IDE ко мне кто-то может коннектиться? Вы про пару открытых портов на localhost или про что-то серьёзнее?
anastasiak2512
12.05.2016 09:20Когда запускается IDE, запускается и встроенный веб-сервер.
Andy_U
12.05.2016 13:52Подскажите пожалуйста:
1) С какой целью?
2) На каких портах и сетевых интерфейсах?
3) Можно ли это настроить/отключить?
Заранее спаибо.anastasiak2512
12.05.2016 14:33+2Стоит для начала отметить, что обнаружив уязвимость, мы в первую очередь хотели как можно быстрее выпустить апдейты с фиксами, при этом не выключая какой-либо функциональности в IDE, что могло негативно сказаться на наших пользователях.
Встроенный сервер используется не только при web-разработке, но и для других функций, таких как:
- внутренняя поддержка Git SSH
- HTTP авторизация
- показ документации по API вызовам в quick doc
- REST API
Поэтому мы не могли просто выключить всю затронутую функциональность. Дальнейшие наши шаги подразумевают анализ того, как мы можем обойтись без использования веб сервера в тех или иных случаях, или как минимум уведомить пользователей заранее о выключениях/изменениях в такого рода возможностях.
TearOfTheStar
11.05.2016 21:59+4Приятно, что даже про старушку IntelliJ IDEA 12, не забыли. Обратная поддержка это всегда хорошо. Молодцы. :)
qrck13
11.05.2016 21:59А что с Android Studio — версия на сайте гугла (143.2821654) — уже с фиксом или надо ждать, когда они раскачаются?
vosi
12.05.2016 04:34-4когда зафиксите интеграцию с беткой докера (которая с xhyve и что-там под виндой)?
Akuma
Обновился. Спасибо.
Кстати, вы присылали Email по этому поводу, там вообще ничего не было сказано о самой уязвимости. Было бы неплохо в следующий раз все же добавить описание в текст сообщения.
anastasiak2512
Спасибо. Учтем на будущее. Мы добавили ссылку на оригинальный блог пост в текст письма, но вероятно, короткое описание следовало добавить и в само письмо тоже.