Mehrere Schwachstellen in JetBrains WebStorm ermöglichen die Ausführung von beliebigem Programmcode durch einen lokalen Angreifer. Die Sicherheitslücke betrifft die integrierte Entwicklungsumgebung und kann dazu führen, dass Schadcode im Kontext des betroffenen Systems gestartet wird.
Technische Details
Die Analyse zeigt, dass die betroffenen Komponenten unsichere Pfadvalidierungen und fehlerhafte Deserialisierungsroutinen enthalten. Durch gezielte Manipulation von Projektdateien lassen sich dadurch Befehle an das Betriebssystem übermitteln.
Betroffene Versionen
Laut dem Advisory sind alle Versionen von WebStorm, die vor dem Release von März 2026 veröffentlicht wurden, von den Schwachstellen betroffen. Die genauen Versionsnummern werden im Originaldokument aufgeführt.
Mögliche Angriffsvektoren
Ein Angreifer muss physischen oder lokalen Netzwerkzugriff besitzen, um die manipulierten Projektdateien zu platzieren. Anschließend kann er die IDE starten und die Schwachstelle ausnutzen, um beliebigen Code auszuführen.
Empfohlene Gegenmaßnahmen
Administratoren sollten unverzüglich prüfen, ob betroffene Versionen im Einsatz sind, und ein Update auf die von JetBrains bereitgestellte sichere Version installieren. Zusätzlich wird empfohlen, die Ausführung von nicht vertrauenswürdigen Projektdateien zu unterbinden.
Reaktion des Herstellers
JetBrains hat auf das Advisory reagiert und ein Sicherheitsupdate veröffentlicht, das die genannten Schwachstellen schließt. Das Unternehmen weist darauf hin, dass Nutzer, die aktuelle Versionen einsetzen, nicht gefährdet sind.
Ausblick
Die CERT-Bund empfiehlt, die Sicherheitsrichtlinien für Entwicklungsumgebungen regelmäßig zu überprüfen und zeitnah auf veröffentlichte Patches zu reagieren, um ähnliche Vorfälle zu verhindern.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung