Trình duyệt nhúng JetBrains IDE chấp nhận sai chứng chỉ trung gian đã bị thu hồi

Trong JetBrains IntelliJ IDEA, PyCharm, PhpStorm, RubyMine và WebStorm trước 2026.3, 2026.2.4, 2026.1.5.1 và 2025.3.6.2; GoLand trước 2026.3, 2026.2.4, 2026.1.5.1 và 2025.3.5.2; Rider trước 2026.3, 2026.2.4, 2026.1.5.3 và 2025.3.5.3; CLion trước 2026.3, 2026.2.4.1, 2026.1.5.2 và 2025.3.6.3; DataGrip trước 2026.3, 2026.2.6.1, 2026.1.4.1 và 2025.3.6.1; RustRover trước 2026.3, 2026.2.5, 2026.1.4.1 và 2025.3.7.1; DataSpell trước 2026.1.3.1 và 2025.3.3.1, trình duyệt nhúng đã tin cậy các chứng chỉ trung gian bị thu hồi

Các phạm vi bị ảnh hưởng được xác nhận gồm:

• IntelliJ IDEA, PyCharm, PhpStorm, RubyMine và WebStorm: trước 2026.3; nhánh 2026.2 trước 2026.2.4; nhánh 2026.1 trước 2026.1.5.1; và các phiên bản trước 2025.3.6.2.
• GoLand: trước 2026.3; nhánh 2026.2 trước 2026.2.4; nhánh 2026.1 trước 2026.1.5.1; và các phiên bản trước 2025.3.5.2.
• Rider: trước 2026.3; nhánh 2026.2 trước 2026.2.4; nhánh 2026.1 trước 2026.1.5.3; và các phiên bản trước 2025.3.5.3.
• CLion: trước 2026.3; nhánh 2026.2 trước 2026.2.4.1; nhánh 2026.1 trước 2026.1.5.2; và các phiên bản trước 2025.3.6.3.
• DataGrip: trước 2026.3; nhánh 2026.2 trước 2026.2.6.1; nhánh 2026.1 trước 2026.1.4.1; và các phiên bản trước 2025.3.6.1.
• RustRover: trước 2026.3; nhánh 2026.2 trước 2026.2.5; nhánh 2026.1 trước 2026.1.4.1; và các phiên bản trước 2025.3.7.1.
• DataSpell: nhánh 2026.1 trước 2026.1.3.1 và các phiên bản trước 2025.3.3.1.

JetBrains liệt kê các bản sửa cụ thể cho từng nhánh, bao gồm các bản phát hành RC hoặc EAP ở nhánh 2026.3. Các nhánh hoặc bản phát hành song song không được liệt kê ở trên không nên được suy đoán là an toàn chỉ vì một nhánh khác đã có bản sửa.

Đây là lỗi CWE-299, trong đó trình duyệt nhúng của các JetBrains IDE không kiểm tra đúng trạng thái thu hồi của chứng chỉ trung gian. Thành phần bị ảnh hưởng là trình duyệt nhúng dựa trên JCEF, thành phần này có danh sách và cơ chế cập nhật chứng chỉ riêng với trust store của JetBrains Runtime. Do đó, trình duyệt có thể tiếp tục tin cậy các chứng chỉ trung gian eMudhra đã bị thu hồi sau sự cố lộ hoặc bị xâm phạm khóa riêng.

Một kẻ tấn công trên mạng có khả năng chặn lưu lượng có thể dùng chứng chỉ phù hợp để giả mạo website hoặc dịch vụ mà công cụ JetBrains kết nối tới. Đánh giá được cung cấp cho biết không yêu cầu quyền truy cập trước, nhưng cần độ phức tạp tấn công cao và cần người dùng tương tác với kết nối hoặc nội dung bị ảnh hưởng. Vị trí chặn lưu lượng chính xác và quy trình trình duyệt cụ thể cần thiết để khai thác không được công bố trong bằng chứng hiện có.

JetBrains cho biết các bản sửa của nhánh 2025.3 trở lên đưa cập nhật chứng chỉ của Chrome vào trình duyệt nhúng thông qua máy chủ cập nhật của Google. Nếu mạng chặn các máy chủ đó, trình duyệt nhúng có thể vẫn không được bảo vệ; trong tình huống này, cần tắt JCEF cho đến khi có thể cập nhật hoặc khôi phục đường truy cập cập nhật.

Lỗ hổng có thể bị tiếp cận qua mạng. Đánh giá được cung cấp mô tả điều kiện không cần xác thực trước, độ phức tạp cao và yêu cầu người dùng tương tác với trình duyệt nhúng hoặc một kết nối mà trình duyệt xử lý.

Điều kiện kỹ thuật cốt lõi là kẻ tấn công phải có khả năng chặn hoặc can thiệp vào lưu lượng mạng và cung cấp chứng chỉ mà trình duyệt nhúng chấp nhận dù chứng chỉ trung gian đã bị thu hồi. Bằng chứng hiện có không xác định một vị trí mạng cụ thể, website cụ thể hoặc chuỗi thao tác khai thác hoàn chỉnh.

Hồ sơ được cung cấp không xác định khai thác công khai và không đánh dấu lỗ hổng là đã bị khai thác trong thực tế. JetBrains cho biết tại thời điểm phát hành thông báo rằng họ chưa biết về việc lỗ hổng này bị khai thác nhằm vào người dùng JetBrains. Phạm vi của tuyên bố đó bị giới hạn theo thời điểm thông báo và không chứng minh rằng mọi môi trường đều an toàn.

Lỗi làm suy yếu quyết định tin cậy TLS của trình duyệt nhúng đối với các chứng chỉ trung gian đã bị thu hồi. Nếu kẻ tấn công chặn được lưu lượng và người dùng tương tác với kết nối bị can thiệp, website hoặc dịch vụ giả mạo có thể được trình duyệt xem như đáng tin cậy.

Hậu quả có thể gồm tiết lộ dữ liệu được nhập hoặc hiển thị trong trình duyệt, tiếp nhận nội dung đã bị sửa đổi, hoặc tác động đến các luồng xác thực và dịch vụ mà IDE truy cập. Mức độ ảnh hưởng phụ thuộc vào dữ liệu và dịch vụ cụ thể được sử dụng qua trình duyệt nhúng; hồ sơ không xác nhận rằng mọi kết nối hoặc plugin đều bị ảnh hưởng như nhau.

Đánh giá được cung cấp cho biết cần người dùng tương tác, không yêu cầu quyền truy cập trước và không mô tả tác động trực tiếp đến tính sẵn sàng. Hồ sơ cũng không thiết lập khả năng thực thi mã tùy ý, vụ xâm phạm cụ thể hoặc chiến dịch tấn công cụ thể.

• Rủi ro dữ liệu: Một website hoặc dịch vụ bị giả mạo có thể khiến người dùng gửi dữ liệu nhạy cảm qua trình duyệt nhúng hoặc tiếp nhận nội dung không đáng tin cậy.
• Rủi ro toàn vẹn: Nội dung hoặc phản hồi từ dịch vụ bị giả mạo có thể bị thay đổi trước khi người dùng xem hoặc xử lý, tùy vào cách IDE hoặc plugin sử dụng trình duyệt.
• Rủi ro truy cập: Các tổ chức dùng trình duyệt nhúng để truy cập dịch vụ nội bộ, cổng quản trị hoặc luồng xác thực có thể bị ảnh hưởng nếu kết nối đi qua mạng mà kẻ tấn công kiểm soát.
• Giới hạn: Bằng chứng hiện có không xác nhận một vụ xâm phạm cụ thể, nạn nhân cụ thể hoặc thiệt hại doanh nghiệp cụ thể. Không có chỉ báo cho thấy lỗ hổng trực tiếp gây gián đoạn dịch vụ.

1. Cập nhật theo bản sửa của JetBrains. Các bản được JetBrains liệt kê gồm:

• IntelliJ IDEA: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2 và 2025.2.6.4.
• PyCharm, PhpStorm, RubyMine và WebStorm: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2 và 2025.2.6.3.
• GoLand: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.5.2 và 2025.2.6.3.
• Rider: 2026.3 EAP 9, 2026.2.4, 2026.1.5.3 và 2025.3.5.3.
• CLion: 2026.3 RC, 2026.2.4.1, 2026.1.5.2, 2025.3.6.3 và 2025.2.6.3.
• DataGrip: 2026.3 RC, 2026.2.6.1, 2026.1.4.1, 2025.3.6.1 và 2025.2.6.1.
• RustRover: 2026.3 EAP 8, 2026.2.5, 2026.1.4.1, 2025.3.7.1 và 2025.2.6.1.
• DataSpell: 2026.1.3.1, 2025.3.3.1 và 2025.2.4.1.

1. Nếu chưa thể cập nhật, tắt JCEF. JetBrains hướng dẫn tắt khóa ide.browser.jcef.enabled, đặc biệt đối với 2025.2.6.4 và các bản trước đó hoặc bất kỳ phiên bản nào khi mạng chặn máy chủ cập nhật của Google. Khởi động lại IDE sau khi thay đổi cấu hình.
2. Bảo đảm đường cập nhật chứng chỉ hoạt động. Ở các bản sửa của nhánh 2025.3 trở lên, JCEF nhận cập nhật chứng chỉ của Chrome từ máy chủ Google sau khi IDE khởi động. Nếu chính sách mạng chặn đường truy cập này, tiếp tục tắt JCEF cho đến khi kết nối được khôi phục hoặc IDE được cập nhật theo hướng dẫn của JetBrains.
3. Không xem việc sửa trust store của JetBrains Runtime là đủ cho CVE này. JCEF có danh sách chứng chỉ riêng, vì vậy việc chỉ làm sạch trust store của JBR không thay thế biện pháp tắt hoặc cập nhật trình duyệt nhúng.
4. Sau khi cập nhật và xác nhận JCEF đã nhận được cơ chế bảo vệ mới, có thể bật lại ide.browser.jcef.enabled. Kiểm tra lại các chức năng dựa trên trình duyệt nhúng vì việc tắt JCEF có thể ảnh hưởng đến bản xem trước Markdown, HTML, đầu ra Jupyter và một số plugin.

1. Lập danh sách tất cả JetBrains IntelliJ IDEA, PyCharm, PhpStorm, RubyMine, WebStorm, GoLand, Rider, CLion, DataGrip, RustRover và DataSpell, sau đó đối chiếu phiên bản với các nhánh bị ảnh hưởng và bản sửa được liệt kê bên dưới.
2. Kiểm tra cấu hình trình duyệt nhúng và giá trị của khóa ide.browser.jcef.enabled. Nếu JCEF đang bật trên bản chưa được sửa, xem hệ thống đó là có nguy cơ phơi nhiễm.
3. Xác nhận máy chủ chạy IDE có thể truy cập các máy chủ cập nhật chứng chỉ của Google. JetBrains nêu rõ rằng việc chặn các máy chủ này có thể khiến trình duyệt nhúng không nhận được cập nhật chứng chỉ cần thiết.
4. Rà soát các cảnh báo chứng chỉ không đáng tin cậy xuất hiện trong IDE. Nếu IDE hiển thị cảnh báo liên quan đến chứng chỉ eMudhra, hãy từ chối chứng chỉ đó và điều tra kết nối tương ứng.
5. Ưu tiên xem xét các phiên làm việc mà trình duyệt nhúng được dùng để truy cập website hoặc dịch vụ có dữ liệu nhạy cảm, thông tin xác thực, mã nguồn hoặc nội dung cần được bảo vệ. Đây là bước đánh giá rủi ro, không phải một chỉ báo khai thác đã được xác nhận.
6. Không coi việc không thấy cảnh báo hoặc không có bản ghi TLS bất thường là bằng chứng hệ thống không bị ảnh hưởng. Nguồn được kiểm tra không cung cấp IOC riêng cho lỗ hổng này.