JetBrains IDE programında FTP/SFTP Açığı
Program geliştirici ve bu arada güvenlik incelemeleri da yapmış “0x94” adlı tek Twitter kullanıcısı, kod ilerletmek için sık sık seçenek edilen JetBrains IDE programında FTP/SFTP verisini açığa çıkaran tek hata/detay keşfetti.
JetBrains ile geliştirme yapmış fazlası kullanıcıları, internet serverına kodlarını transfer etmek için ek tek FTP programı kullanmak adına JetBrains’in sunmuş olduğu FTP bağlantı aracını seçenek etmektedir. Bu formül için uzaktaki internet server ile bağlantı yapıldığından, kullanıcının, kod düzenlemesini server doğrultusunda mı yok ise mahalli doğrultuda mı yaptığı ile ilgili dikkatli olması gerekir. İşte buna ilgi etmeyen kullanıcılar, titiz bulgular sahibi olan ve dışarıdan URL’ye gidildiğinde okunabilen konfigürasyon dosyalarını açığa çıkararak sistemlerini tehlikeye sokmaktadır. Bundan dolayı, bu mevzu bağlamında hatanın devasa paydasını gerçekte JetBrains ile geliştirme yapmış kullanıcılar oluşturmaktadır.
0x94’ün söylediğine göre, taramalarının neticeninde bu hatayı yapmış 1.850.000 sitenin SFTP verilerinin elde edilebilir olduğunu çözümleme etmiş ve bununla alakalı exploit‘i tek Nmap eklentisi olarak geliştirdiğini duyurmuştur.
0x94’ün iddiasına göre, analizleri sırasında Washington DC sunucusunun da bu hatadan kısmetini aldığını dile getirmiştir.
JetBrains’in ise böyle vaziyetlere karşı ikaz mekanizması geliştirerek kullanıcı güvenlik istikametinden uyarması henüz güvenilir tek geliştirme ortamı sağlayacaktır.
JetBrains ile geliştirme yapmış fazlası kullanıcıları, internet serverına kodlarını transfer etmek için ek tek FTP programı kullanmak adına JetBrains’in sunmuş olduğu FTP bağlantı aracını seçenek etmektedir. Bu formül için uzaktaki internet server ile bağlantı yapıldığından, kullanıcının, kod düzenlemesini server doğrultusunda mı yok ise mahalli doğrultuda mı yaptığı ile ilgili dikkatli olması gerekir. İşte buna ilgi etmeyen kullanıcılar, titiz bulgular sahibi olan ve dışarıdan URL’ye gidildiğinde okunabilen konfigürasyon dosyalarını açığa çıkararak sistemlerini tehlikeye sokmaktadır. Bundan dolayı, bu mevzu bağlamında hatanın devasa paydasını gerçekte JetBrains ile geliştirme yapmış kullanıcılar oluşturmaktadır.
0x94’ün söylediğine göre, taramalarının neticeninde bu hatayı yapmış 1.850.000 sitenin SFTP verilerinin elde edilebilir olduğunu çözümleme etmiş ve bununla alakalı exploit‘i tek Nmap eklentisi olarak geliştirdiğini duyurmuştur.
0x94’ün iddiasına göre, analizleri sırasında Washington DC sunucusunun da bu hatadan kısmetini aldığını dile getirmiştir.
JetBrains’in ise böyle vaziyetlere karşı ikaz mekanizması geliştirerek kullanıcı güvenlik istikametinden uyarması henüz güvenilir tek geliştirme ortamı sağlayacaktır.
Yorumlar
Yorum Gönder