JetBrains - CVE-2026-118697
Date de publication :
Il s’agit d’une vulnérabilité dans le service d’arrière-plan jetbrainsd, installé par la Toolbox App et par les IDE JetBrains.
JetBrains Toolbox App est une application de gestion et de mise à jour des environnements de développement JetBrains. IntelliJ IDEA est un environnement de développement intégré (IDE) pour les langages Java et Kotlin.
En octobre 2026, les clés privées de huit certificats intermédiaires de l’autorité eMudhra ont été compromises. Ces clés sont récupérables à partir des certificats publics. Le service jetbrainsd contient sa propre liste de certificats de confiance, intégrée au service. Il fait donc toujours confiance aux certificats intermédiaires compromis. Les mises à jour du système d’exploitation et du JetBrains Runtime ne corrigent pas ce défaut. Un seul exemplaire de jetbrainsd s’exécute par utilisateur. Une version plus récente remplace toujours une version plus ancienne. L’attaque exige une position d’interception du trafic réseau. Sa complexité est élevée.
Elle permet à un attaquant réseau d’usurper des sites et des services auxquels les outils JetBrains se connectent.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Oui
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
Exploitation
CWE-295 : Improper Certificate Validation
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
JetBrains Toolbox App versions 3.9.0 jusqu’aux versions antérieures à 3.9.1
- JetBrains Toolbox App versions antérieures à 3.8.2
- IntelliJ IDEA versions antérieures à 2026.3 et 2026.2.4
- Service jetbrainsd versions antérieures à 0.9.9728
Contournement provisoire
• Nettoyage manuel des certificats (contournement cité par l’éditeur)
Solutions ou recommandations
• Toolbox App branche 3.8 : versions 3.8.2 et supérieures
• IntelliJ IDEA branche 2026.3 : versions 2026.3 et supérieures
• IntelliJ IDEA branche 2026.2 : versions 2026.2.4 et supérieures
• IntelliJ IDEA branche 2026.1 : versions 2026.1.5.1 et supérieures
• IntelliJ IDEA branche 2025.3 : versions 2025.3.6.2 et supérieures
• IntelliJ IDEA branche 2025.2 : versions 2025.2.6.4 et supérieures
• Service jetbrainsd : versions 0.9.9728 et supérieures