TeamCity agenta protokols izpilda OS komandas bez pieteikšanās, CVSS 9,8

JetBrains izlaida TeamCity 2026.1.3 un 2025.11.7 ar labojumu caurumam, kas ļauj neautentificētam uzbrucējam palaist operētājsistēmas komandas uz būvēšanas servera. Ievainojamības numurs ir CVE-2026-63077, CVSS vērtējums 9,8 no 10. Skartas visas TeamCity On-Premises versijas bez izņēmuma.

Vaina ir agentu aptaujas protokolā, pa kuru būvēšanas agenti runā ar serveri parastā HTTP vai HTTPS savienojumā. Uzbrucējam nav vajadzīgs konts, žetons vai kāda lietotāja darbība. Pietiek ar tīkla piekļuvi serverim. Komandas pēc tam izpildās ar TeamCity servera procesa tiesībām. Kļūdu 10. jūlijā privāti ziņoja Antoni Tremblay. JetBrains drošības paziņojums parādījās divarpus nedēļas vēlāk.

Agenti paši regulāri vaicā serverim pēc jauna darba pa to pašu portu, kur strādā tīmekļa saskarne. Atsevišķu agenta portu tāpēc aizvērt nevar. Ja no kāda tīkla ir sasniedzama TeamCity saskarne, no tā paša tīkla ir sasniedzams arī ievainojamais protokols.

Nedrošā deserializācija

Ievainojamības klase ir CWE-502, nedrošā neuzticamu datu deserializācija. Programma pieņem serializētu objektu no tīkla un atjauno to atmiņā, pirms pārbauda, kāda tipa objekts tas vispār ir. Ja uzbrucējs var izvēlēties tipu, viņš var izvēlēties arī kodu, kas atjaunošanas laikā izpildās. Java pasaulē šo paņēmienu publiski demonstrē jau desmit gadus.

Tehniskās detaļas JetBrains nav publicējis. Publisks pierādījuma kods pagaidām nav parādījies. No paziņojuma zināms tas, ka uzbrukums pilnībā apiet servera autentifikācijas pārbaudes. Tas nozīmē, ka nepalīdz ne stipras paroles, ne divfaktoru autentifikācija administratora kontiem.

Kas glabājas uz būvēšanas servera

CI serveris ir vieta, kur vienā mašīnā satiekas visu projektu pirmkods, izvietošanas žetoni, parakstīšanas atslēgas un pieejas dati artefaktu krātuvēm. IONIX uzskaita iespējamās sekas: piekļuvi pirmkodam, būvēšanas noslēpumiem, vides mainīgajiem un konveijeru konfigurācijai, kā arī tālāku pārvietošanos uz saistīto infrastruktūru.

Uzbrucējam, kas iegūst TeamCity serveri, datus nemaz nav jāzog tieši. Var pietikt ar viena būvēšanas soļa nomaiņu, lai svešs kods aizceļotu līdz ražošanas serveriem ar organizācijas paša parakstu.

Šī paziņojuma publicēšanas brīdī mums nav zināms par aktīvu izmantošanu.

Tā raksta JetBrains. TeamCity Cloud klientiem nav jādara nekas. Tur labojums jau uzstādīts un pazīmju par uzbrukumiem nav.

2024. gadā tas pats beidzās slikti

2024. gada martā TeamCity bija cita autentifikācijas apiešana ar tikpat augstu vērtējumu, CVE-2024-27198. Nedēļas laikā pēc ielāpa publiskošanas LeakIX saskaitīja vairāk nekā 1400 uzlauztu serveru. Uzbrucēji katrā bija izveidojuši no trim līdz 300 saviem administratora kontiem. Trend Micro uz šiem serveriem atrada Jasmin izspiedējvīrusu, kriptovalūtas racējus un attālinātas piekļuves rīkus. Shadowserver 5. martā redzēja vairāk nekā 1500 ievainojamu instanču, mēneša beigās vēl aptuveni 600.

Toreiz pierādījuma kods parādījās dažu dienu laikā pēc ielāpa. Tāpēc plānot atjaunināšanu uz nākamo uzturēšanas logu pēc mēneša nav laba doma.

Kā pārbaudīt, vai serveris jau nav apciemots

Tā kā publiska pierādījuma koda vēl nav, lielākajai daļai instalāciju atjaunināšana notiks pirms pirmā uzbrukuma. Serveriem, kas mēnešiem stāvējuši atvērti internetā, ar ielāpa uzstādīšanu vien nepietiek.

Agentu sarakstā ir vērts pārskatīt katru reģistrēto agentu un dzēst tos, kurus neviens neatpazīst. Viena no jūlijā aizvērtajām kļūdām izmantoja tieši neautentificētu agenta reģistrāciju, tāpēc svešs ieraksts šajā sarakstā ir konkrēta pazīme. Tālāk seko lietotāju saraksts: 2024. gadā uzbrucēji visbiežāk vienkārši izveidoja sev administratora kontu.

Būvēšanas vēsturē jāmeklē soļi, kas parādījušies bez atbilstošas izmaiņas versiju kontrolē. Portāls cybersecuritynews.com iesaka pievērst uzmanību tieši negaidītai skriptu izpildei būvēšanas žurnālos. Un, ja serveris bija publiski pieejams, visi tajā glabātie noslēpumi ir jāuzskata par nopludinātiem: izvietošanas žetoni, reģistru paroles, parakstīšanas atslēgas. To nomaiņa prasa vairāk laika nekā pats atjauninājums, tāpēc to labāk sākt uzreiz.

Ko darīt tagad

Uz 2026.x zara jāatjaunina līdz 2026.1.3. Uz 2025.11.x zara jāatjaunina līdz 2025.11.7. Citu labotu versiju nav.

Kam atjaunināšana nav iespējama, JetBrains piedāvā drošības ielāpa spraudni. Tas der TeamCity 2017.1 un jaunākām versijām, tātad arī deviņus gadus vecām instalācijām. Spraudni var lejupielādēt no download.jetbrains.com.

Ja TeamCity serveris ir sasniedzams no interneta, otrs solis ir aizvērt to aiz VPN. Agentu aptaujas protokolam nav iemesla būt publiski pieejamam.

Jūlija labojumu partijā ir vēl viena nopietna kļūda. CVE-2026-65907 ļauj injicēt kodu caur Git VCS sakņu iestatījumiem, klasifikācija CWE-94, vērtējums 9,1. To aizvēra jau 2026.1.2 un 2025.11.6, tāpēc ikvienam, kas tagad kāpj uz 2026.1.3, tā ir aizlāpīta reizē ar galveno. Kas paliek uz vecākas versijas ar ielāpa spraudni, tam Git un Perforce sakņu rediģēšanas tiesības ir vērts ierobežot atsevišķi.

Tajā pašā 2026.1.2 laidienā JetBrains aizvēra četras augsta smaguma kļūdas:

• CVE-2026-59793: patvaļīga failu nolasīšana caur Perforce VCS integrāciju
• CVE-2026-59794: uzglabāts XSS caur agenta ziņotajiem datiem mākoņa profila lapā
• CVE-2026-59795: uzglabāts XSS caur neautentificētu agenta reģistrāciju
• CVE-2026-59796: konveijeru izmaiņas bez atbilstošām tiesībām

Atsevišķi jāatjaunina arī IntelliJ IDEA. CVE-2026-59792 tur ļauj izkļūt no paredzētās ceļu struktūras un izpildīt kodu. Labojums ir 2026.1.4 un 2026.2 versijās. YouTrack pusē salaboja CSS injekciju caur Mermaid diagrammu attēlošanu, tā novērtēta kā zema riska un aizvērta 2026.2.17012 laidienā.

Avoti

• JetBrains: Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077)
• The Hacker News: Critical TeamCity Flaw Could Let Attackers Run OS Commands Without Logging In
• IONIX Threat Center: CVE-2026-63077
• Cybersecurity News: JetBrains Patched 6 Vulnerabilities Across TeamCity, YouTrack and IntelliJ IDEA
• Trend Micro: TeamCity Vulnerability Exploits Lead to Jasmin Ransomware