JetBrains Toolbox App und IDEs: Unzureichende Zertifikatsprüfung in jetbrainsd
Zusammenfassung
Der Hintergrunddienst jetbrainsd, der von der JetBrains Toolbox App und von JetBrains IDEs wie IntelliJ IDEA installiert wird, vertraut Zwischenzertifikaten der Zertifizierungsstelle eMudhra, deren private Schlüssel kompromittiert wurden. Ein Angreifer mit einer Position im Netzwerk, von der aus er den Datenverkehr abfangen kann, könnte sich als Websites und Dienste ausgeben, zu denen diese Werkzeuge eine Verbindung aufbauen. Der Angriff erfordert eine Man-in-the-Middle-Position mit hoher Komplexität, jedoch keine Berechtigungen und keine Benutzerinteraktion.
Betroffen
- JetBrains Toolbox App vor 3.9.1 und vor 3.8.2
- JetBrains IntelliJ IDEA vor 2026.3 und vor 2026.2.4
- Toolbox App 3.7 und früher sowie IDE-Versionen 2025.1 und früher erhalten keinen Fix und bleiben betroffen.
Behoben in
- Toolbox App 3.9.1 oder 3.8.2 (enthält jetbrainsd 0.9.9728)
- jetbrainsd 0.9.9728 oder neuer
- IntelliJ IDEA 2026.2.4, 2026.1.5.1, 2025.3.6.2 oder 2025.2.6.4 (gemäss Herstellerliste; der Status der stabilen Version 2026.3 ist Unbekannt.)
Umgehung
- Nach Installation einer korrigierten Version ist kein Workaround nötig.
- Bis zur Aktualisierung bei jeder Warnung zu einem nicht vertrauenswürdigen Serverzertifikat für ein von eMudhra ausgestelltes Zertifikat die Verbindung ablehnen.
- Betriebssystem-Updates beheben dieses Problem nicht.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt; JetBrains hat keine Ausnutzung gegen eigene Benutzer festgestellt.
- Es wurde kein öffentlicher Proof of Concept speziell zu dieser CVE gefunden.
- Die kompromittierten eMudhra-Schlüssel sind öffentlich dokumentiert; ein Angreifer bräuchte dennoch eine Position im Netzwerk, um den Datenverkehr abzufangen.
Unsere Empfehlung
- Die Toolbox App auf allen Entwickler-Arbeitsplätzen auf 3.9.1 oder 3.8.2 aktualisieren; dadurch wird auch jetbrainsd aktualisiert.
- Alle JetBrains IDEs auf die neueste Bugfix-Version der aktuell eingesetzten Version aktualisieren.
- Toolbox App 3.7 und früher sowie IDEs 2025.1 und früher aktualisieren, da dafür kein Fix erscheint.
- Entwickler priorisieren, die in unsicheren Netzwerken wie öffentlichem WLAN oder unterwegs arbeiten.
- Auf Zertifikatswarnungen zu eMudhra-Zertifikaten in JetBrains-Werkzeugen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JetBrains Blog: Compromised eMudhra Certificates blog.jetbrains.com
- JetBrains Issues Fixed www.jetbrains.com
- JetBrains Blog: eMudhra CA incident status and guidance blog.jetbrains.com
- Mozilla Bugzilla 2083449: eMudhra private key compromise bugzilla.mozilla.org
- eMudhra certificate security incident emudhra.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.