CVE-2024-37051

W wersjach JetBrains IDE wydanych po 2023.1 token dostępu GitHub może zostać przekazany lub ujawniony stronom trzecim w sposób niezamierzony przez użytkownika (wymagana jest jednak interakcja użytkownika — UI:R). Podatność klasyfikowana jest jako CWE-522, czyli niewystarczająco chronione poświadczenia, co oznacza, że token nie jest odpowiednio zabezpieczony przed wyciekiem do niezaufanych podmiotów zewnętrznych. Zakres podatności przekracza kontekst zaatakowanej aplikacji (S:C — Changed Scope), co oznacza, że skutki mogą dotknąć zasoby zewnętrzne względem samego IDE.

Atakujący może uzyskać token dostępu GitHub ofiary, co potencjalnie umożliwia mu pełny dostęp do repozytoriów, kodu źródłowego oraz innych zasobów powiązanych z kontem GitHub użytkownika. Skutkuje to wysoką poufnością (C:H) oraz wysoką integralnością (I:H) zagrożonych danych.

Należy zaktualizować używane JetBrains IDE do wersji wskazanych powyżej jako poprawione (lub nowszych). Dodatkowo zaleca się unieważnienie i wygenerowanie nowych tokenów GitHub we wszystkich środowiskach, w których używano podatnych wersji IDE. Szczegółowe informacje dostępne są na stronie producenta: https://www.jetbrains.com/privacy-security/issues-fixed/

JetBrains IDE w wersjach po 2023.1 i przed następującymi poprawionymi wydaniami: IntelliJ IDEA 2023.1.7, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP3; Aqua 2024.1.2; CLion 2023.1.7, 2023.2.4, 2023.3.5, 2024.1.3, 2024.2 EAP2; DataGrip 2023.1.3, 2023.2.4, 2023.3.5, 2024.1.4; DataSpell 2023.1.6, 2023.2.7, 2023.3.6, 2024.1.2, 2024.2 EAP1; GoLand 2023.1.6, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP3; MPS 2023.2.1, 2023.3.1, 2024.1 EAP2; PhpStorm 2023.1.6, 2023.2.6, 2023.3.7, 2024.1.3, 2024.2 EAP3; PyCharm 2023.1.6, 2023.2.7, 2023.3.6, 2024.1.3, 2024.2 EAP2; Rider 2023.1.7, 2023.2.5, 2023.3.6, 2024.1.3; RubyMine 2023.1.7, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP4; RustRover 2024.1.1; WebStorm 2023.1.6, 2023.2.7, 2023.3.7, 2024.1.4.

Podatność dotyczy bardzo szerokiej gamy produktów JetBrains (ponad 13 różnych IDE). Organizacje korzystające z integracji GitHub w środowiskach JetBrains powinny priorytetowo potraktować rotację tokenów dostępu GitHub niezależnie od statusu aktualizacji.