【漏洞通告】JetBrains IntelliJ IDE信息泄露漏洞（CVE-2024-37051）
發布時間 2024-06-13一、漏洞概述
漏洞名稱 | JetBrains IntelliJ IDE信息泄露漏洞 | ||
CVE ID | CVE-2024-37051 | ||
漏洞類型 | 信息泄露 | 發現時間 | 2024-06-12 |
漏洞評分 | 9.3 | 漏洞等級 | 高危 |
攻擊向量 | 網絡 | 所需權限 | 無 |
利用難度 | 低 | 用戶交互 | 是 |
PoC/EXP | 已公開 | 在野利用 | 未發現 |
JetBrains IntelliJ 是一個集成開發環境（IDE）平臺，由 JetBrains 公司開發并維護，支持Java、Kotlin、Scala、Groovy、Python、JavaScript、TypeScript、Go、Rust 等多種編程語言。
2024年6月12日，啟明星辰集團VSRC監測到 JetBrains IntelliJ IDE信息泄露漏洞（CVE-2024-37051）的漏洞細節及PoC/EXP在互聯網上公開，該漏洞的CVSS評分為9.3。
JetBrains IntelliJ平臺上的 JetBrains GitHub 插件中存在漏洞，當在 IDE中使用 GitHub 拉取請求功能時可能導致將訪問令牌暴露給第三方主機，導致敏感信息泄露。該漏洞影響從2023.1 起啟用并配置/使用 JetBrains GitHub 插件的所有基于IntelliJ 的集成開發環境。
二、影響范圍
IntelliJ IDE 2023.1及更高版本，其中啟用并配置了JetBrains GitHub 插件
三、安全措施
3.1 升級版本
目前JetBrains已修復該漏洞，并修補了易受攻擊的 JetBrains GitHub 插件，并從其官方插件市場中刪除了所有以前受影響的版本，IntelliJ IDE的完整修復版本列表包括：
Aqua：2024.1.2
CLion：2023.1.7, 2023.2.4, 2023.3.5, 2024.1.3, 2024.2 EAP2
DataGrip：2024.1.4
DataSpell：2023.1.6, 2023.2.7, 2023.3.6, 2024.1.2
GoLand：2023.1.6, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP3
IntelliJ IDEA：2023.1.7, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP3
MPS：2023.2.1, 2023.3.1, 2024.1 EAP2
PhpStorm：2023.1.6, 2023.2.6, 2023.3.7, 2024.1.3, 2024.2 EAP3
PyCharm：2023.1.6, 2023.2.7, 2023.3.6, 2024.1.3, 2024.2 EAP2
Rider：2023.1.7, 2023.2.5, 2023.3.6, 2024.1.3
RubyMine：2023.1.7, 2023.2.7, 2023.3.7, 2024.1.3, 2024.2 EAP4
RustRover：2024.1.1
WebStorm：2023.1.6, 2023.2.7, 2023.3.7, 2024.1.4
下載鏈接：
https://www.jetbrains.com/
3.2 臨時措施
建議更新到IDE的最新版本。
此外，如果在 IDE中使用 GitHub 拉取請求功能，建議撤銷插件正在使用的任何 GitHub令牌。鑒于該插件可以使用 OAuth 集成或個人訪問令牌 (PAT)，請檢查兩者并根據需要撤銷：
OAuth 集成設置：轉到應用程序→ 授權的 OAuth 應用程序并撤銷JetBrains IDE 集成應用程序的訪問權限。
個人訪問令牌設置：進入Tokens頁面，刪除為插件頒發的令牌。默認令牌名稱為IntelliJ IDEA GitHub integration plugin，也可以使用自定義名稱。
注意，令牌被撤銷后，需要重新設置插件，因為所有插件功能（包括 Git操作）都將停止工作。此外，由于緩解措施，舊版本JetBrains IDE中的 JetBrains GitHub 插件可能無法再按預期工作。
3.3 通用建議
l 定期更新系統補丁，減少系統漏洞，提升服務器的安全性。
l 加強系統和網絡的訪問控制，修改防火墻策略，關閉非必要的應用端口或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
l 使用企業級安全產品，提升企業的網絡安全性能。
l 加強系統用戶和權限管理，啟用多因素認證機制和最小權限原則，用戶和軟件權限應保持在最低限度。
l 啟用強密碼策略并設置為定期修改。
3.4 參考鏈接
https://blog.jetbrains.com/security/2024/06/updates-for-security-issue-affecting-intellij-based-ides-2023-1-and-github-plugin/
https://www.bleepingcomputer.com/news/security/jetbrains-warns-of-intellij-ide-bug-exposing-github-access-tokens/
四、版本信息
版本 | 日期 | 備注 |
V1.0 | 2024-06-13 | 首次發布 |
五、附錄
5.1 公司簡介
啟明星辰成立于1996年，是由留美博士嚴望佳女士創建的、擁有完全自主知識產權的信息安全高科技企業。是國內最具實力的信息安全產品、安全服務解決方案的領航企業之一。
公司總部位于北京市中關村軟件園啟明星辰大廈，公司員工6000余人，研發團隊1200余人, 技術服務團隊1300余人。在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系。公司于2010年6月23日在深圳中小板掛牌上市。（股票代碼：002439）
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
5.2 關于我們
啟明星辰安全應急響應中心已發布1000多個漏洞通告和風險預警，我們將持續跟蹤全球最新的網絡安全事件和漏洞，為企業的信息安全保駕護航。
關注我們：
京公網安備11010802024551號