В JetBrains Datalore, среде для совместной работы с данными и аналитическими блокнотами, обнаружили уязвимость обхода каталогов. Обратиться к ней можно без входа в систему, а результатом становится чтение файлов, доступных процессу сервера. Проблема получила идентификатор CVE-2026-111093 и затрагивает выпуски до 2026.2.1. Оценка вендора по шкале CVSS 3.1 составляет 7.5 балла, это уровень High.
Уязвимость CVE-2026-111093 в JetBrains Datalore
Механизм ошибки связан с конечной точкой, которая выдает объекты отчётов. Приложение принимает от клиента путь к файлу и проверяет его недостаточно строго. Злоумышленник подставляет указатели на родительские каталоги и выбирается за пределы разрешённой папки. Такой класс ошибок описывают как CWE-23, относительный обход пути. Ни учётная запись, ни действия пользователя для эксплуатации не нужны, хватает сетевого доступа к сервису.
Нашёл уязвимость исследователь под ником hieudc, во внутреннем трекере JetBrains обращение зарегистрировано как DL-17008. Формулировка в описании CVE прямо указывает: чтение файлов возможно без аутентификации. Именно отсутствие проверки подлинности на служебной конечной точке определяет размер риска. Из оценки вектора следует, что атака идёт по сети, сложность у неё низкая, привилегии не требуются. Целостность данных и доступность сервиса при этом не страдают, под угрозой только конфиденциальность.
Пока запись CVE ждёт обогащения в базе NVD (Национальная база данных уязвимостей США), единственную оценку дал JetBrains как CNA, то есть организация, которой поручена выдача идентификатора. Сведений о применении этой уязвимости в реальных атаках в открытых данных нет. Обход каталогов опасен не глубиной проникновения, а широтой охвата. Читать можно любые файлы, доступные процессу, а не только объекты самого продукта. Рядом с приложением в рабочем окружении лежат конфигурационные файлы и учётные данные для подключения к хранилищам. Получив их, злоумышленник расширяет доступ и перемещается дальше по инфраструктуре.
Datalore работает с аналитическими блокнотами и часто разворачивается там, где обрабатывают чувствительные наборы данных. К последствиям нужно отнести не только утечку служебной информации. Любой файл, который читает процесс приложения, может оказаться выгрузкой, фрагментом модели или ключом доступа к внешней системе. Хуже того, для подобных запросов не нужны учётные данные, поэтому первый этап атаки не оставляет следов неудачных попыток входа.
Исправление доступно в версии 2026.2.1. Она закрывает возможность обхода каталогов через конечную точку отчётов. Администраторам, которые держат Datalore в своей инфраструктуре, нужно обновить продукт до этой версии или до более позднего выпуска. Если обновление откладывается, доступ к сервису снаружи ограничивают вручную. Помогает размещение за обратным прокси с обязательной аутентификацией, а также сетевые правила, которые пропускают только доверенные сегменты. Отдельно проверяют журналы обращений к конечной точке отчётов: аномальные пути в запросах видны именно там.
Обход каталогов остаётся одной из самых распространённых ошибок в веб-компонентах, и в этом случае его усиливает отсутствие аутентификации. Оценка 7.5 балла отражает высокий уровень угрозы, хотя NVD свою цифру пока не опубликовал. Разрыв между оценками вендора и национальной базы меняет приоритеты при планировании обновлений: пока расхождение не снято, разумно ориентироваться на более строгую из двух.
Ссылки
- https://nvd.nist.gov/vuln/detail/cve-2026-111093
- https://www.jetbrains.com/privacy-security/issues-fixed/?product=Datalore
