JetBrains đã khắc phục sáu lỗ hổng CVE nghiêm trọng trong các sản phẩm phát triển phần mềm và quản lý dự án của mình, bao gồm IntelliJ IDEA, TeamCity và YouTrack. Việc phát hành các bản vá bảo mật này là cần thiết để bảo vệ hệ thống khỏi các mối đe dọa tiềm tàng, đặc biệt là những lỗ hổng có thể dẫn đến việc chiếm quyền điều khiển hoặc rò rỉ dữ liệu.
Tổng quan các lỗ hổng CVE trong sản phẩm JetBrains
Các lỗ hổng CVE này trải rộng trên nhiều sản phẩm, từ môi trường phát triển tích hợp (IDE) đến các nền tảng quản lý dự án và CI/CD. Mức độ nghiêm trọng của chúng từ thấp đến cao, với một số có khả năng gây ra tác động đáng kể đến hệ thống của người dùng.
CVE-2026-59792: Lỗi Path Traversal và Khả năng Thực thi Mã từ xa trong IntelliJ IDEA
Lỗ hổng nghiêm trọng nhất được theo dõi là CVE-2026-59792, một lỗi xử lý đường dẫn không đúng (CWE-23) trong IntelliJ IDEA. Kẻ tấn công có thể lợi dụng quá trình xử lý ID không gian làm việc của dự án để thực hiện tấn công path traversal.
Điều này có thể dẫn đến việc đọc hoặc ghi các tệp ngoài thư mục dự kiến, và trong một số trường hợp, cho phép thực thi mã từ xa (Remote Code Execution) trong môi trường IntelliJ IDEA bị ảnh hưởng. Lỗi này đã được nhà nghiên cứu bảo mật Antoni Tremblay báo cáo và đã được khắc phục trong các phiên bản IntelliJ IDEA 2026.1.4 và 2026.2.
Chi tiết về lỗ hổng có thể được tìm thấy trên cơ sở dữ liệu quốc gia về lỗ hổng (NVD): NVD – CVE-2026-59792.
CVE-2026-59793: Lỗ hổng Truy cập Tệp Tùy ý trong TeamCity qua Tích hợp Perforce VCS
Một cảnh báo CVE khác là CVE-2026-59793, một lỗi CWE-73 (Externally Controlled File Name or Path) được tìm thấy trong tích hợp Perforce VCS của TeamCity phiên bản 2026.1.2. Lỗ hổng này có thể cho phép truy cập tệp tùy ý thông qua các tham chiếu tệp hoặc đường dẫn bị kiểm soát từ bên ngoài.
Nhà nghiên cứu @maple3142 đã báo cáo lỗ hổng này. Việc khai thác thành công có thể dẫn đến việc kẻ tấn công đọc, ghi hoặc xóa các tệp hệ thống quan trọng, gây ra nguy cơ nghiêm trọng về rò rỉ dữ liệu và sự toàn vẹn của hệ thống.
Các lỗ hổng Cross-Site Scripting (XSS) được lưu trữ trong TeamCity
TeamCity cũng chịu ảnh hưởng bởi hai lỗ hổng cross-site scripting (XSS) được lưu trữ, được định danh là CVE-2026-59794 và CVE-2026-59795. Những lỗ hổng này cho phép lưu trữ và thực thi mã JavaScript độc hại trong trình duyệt của người dùng.
Lỗ hổng đầu tiên (CVE-2026-59794) liên quan đến dữ liệu do agent báo cáo được hiển thị trên trang cấu hình đám mây. Lỗ hổng thứ hai (CVE-2026-59795) có thể bị kích hoạt thông qua việc đăng ký agent không xác thực.
Việc khai thác thành công một trong hai lỗ hổng CVE này có thể dẫn đến đánh cắp phiên (session theft), thao túng giao diện hoặc thực hiện các hành động trong ngữ cảnh của người dùng TeamCity đã đăng nhập. JetBrains đã vá bốn vấn đề có mức độ nghiêm trọng cao trong TeamCity phiên bản 2026.1.2.
CVE-2026-59796: Lỗ hổng Điều chỉnh Pipeline do Kiểm tra Quyền Truy cập không đúng trong TeamCity
Một vấn đề khác trong TeamCity là CVE-2026-59796, được phân loại là CWE-862 (Missing Authorization). Lỗ hổng này có thể cho phép người dùng thực hiện các sửa đổi trái phép đối với cấu hình pipeline CI/CD.
Nhà nghiên cứu Alwion đã báo cáo lỗ hổng này. Việc thiếu kiểm tra quyền truy cập cần thiết tạo ra rủi ro bảo mật nghiêm trọng đối với tính toàn vẹn của bản dựng và an ninh chuỗi cung ứng phần mềm. Kẻ tấn công có thể chèn mã độc vào quy trình triển khai phần mềm.
CVE-2026-59791: Lỗi CSS Injection trong YouTrack thông qua Mermaid diagram rendering
JetBrains cũng đã khắc phục CVE-2026-59791 trong YouTrack phiên bản 2026.2.17012. Đây là một vấn đề có mức độ nghiêm trọng thấp, cho phép tiêm CSS (CSS injection) thông qua quá trình hiển thị biểu đồ Mermaid.
Mặc dù lỗ hổng tiêm CSS này không thể trực tiếp thực thi script, nhưng nó có khả năng thay đổi giao diện trang. Điều này có thể tạo điều kiện cho các cuộc tấn công lừa đảo (phishing) hoặc đánh lừa giao diện người dùng, gây ra nguy cơ mất thông tin hoặc nhầm lẫn cho người dùng.
Ảnh hưởng và Rủi ro Bảo mật Tổng thể
Sự tồn tại của các lỗ hổng CVE trong các sản phẩm cốt lõi như IntelliJ IDEA, TeamCity và YouTrack đặt ra những rủi ro bảo mật đáng kể cho các tổ chức sử dụng chúng. Từ khả năng chiếm quyền điều khiển hệ thống phát triển đến việc thao túng quy trình CI/CD và rò rỉ dữ liệu nhạy cảm, mỗi lỗ hổng đều có thể gây ra những hậu quả nghiêm trọng.
Các cuộc tấn công mạng khai thác những điểm yếu này có thể làm gián đoạn hoạt động, gây tổn hại danh tiếng và gây thiệt hại tài chính. Việc liên tục theo dõi và ứng phó với các cảnh báo CVE là một phần không thể thiếu trong chiến lược an ninh mạng toàn diện.
Khuyến nghị và biện pháp khắc phục để tăng cường an ninh mạng
Để bảo vệ hệ thống khỏi các mối đe dọa này, các tổ chức đang sử dụng sản phẩm của JetBrains cần thực hiện nâng cấp ngay lập tức. Đây là bước quan trọng nhất để áp dụng các bản vá bảo mật đã được phát hành.
- Đối với IntelliJ IDEA, nâng cấp lên phiên bản 2026.1.4 hoặc 2026.2.
- Đối với TeamCity, nâng cấp lên phiên bản 2026.1.2.
- Đối với YouTrack, nâng cấp lên phiên bản 2026.2.17012.
Ngoài việc nâng cấp, các quản trị viên cũng được khuyến nghị nên xem xét lại cài đặt đăng ký agent của TeamCity. Việc kiểm tra và audit các thay đổi pipeline gần đây là cần thiết để phát hiện bất kỳ sự can thiệp trái phép nào.
Đồng thời, cần kiểm tra kỹ nhật ký truy cập để tìm kiếm bất kỳ hoạt động bất thường nào liên quan đến kho lưu trữ hoặc truy cập tệp. Những biện pháp này giúp tăng cường an ninh mạng và giảm thiểu nguy cơ bị xâm nhập.
Thông tin chi tiết về các vấn đề đã được khắc phục có thể tham khảo tại trang bảo mật của JetBrains: JetBrains Security Bulletin.
Chi tiết kỹ thuật các lỗ hổng đã được vá
Dưới đây là bảng tổng hợp các lỗ hổng CVE đã được JetBrains khắc phục:
- CVE-2026-59791 (Mức độ thấp): Lỗi tiêm CSS trong YouTrack thông qua hiển thị biểu đồ Mermaid.
- CVE-2026-59792 (Mức độ nghiêm trọng): Lỗi path traversal trong IntelliJ IDEA có thể dẫn đến thực thi mã.
- CVE-2026-59793 (Mức độ cao): Lỗi truy cập tệp tùy ý trong TeamCity thông qua tích hợp Perforce VCS.
- CVE-2026-59794 (Mức độ cao): Lỗ hổng XSS được lưu trữ trong TeamCity qua dữ liệu do agent báo cáo trên trang cấu hình đám mây.
- CVE-2026-59795 (Mức độ cao): Lỗ hổng XSS được lưu trữ trong TeamCity qua đăng ký agent không xác thực.
- CVE-2026-59796 (Mức độ cao): Lỗ hổng điều chỉnh pipeline trong TeamCity do kiểm tra quyền không đúng.
