CVE-2024-23917

JetBrains TeamCity: Authentication Bypass umożliwiający RCE

CVSS 9.8v3.1pub. 2024-02-06upd. 2024-11-21

W JetBrains TeamCity przed wersją 2023.11.3 istnieje krytyczna podatność pozwalająca na ominięcie uwierzytelnienia, prowadząca do zdalnego wykonania kodu (RCE). Zagrożenie jest szczególnie poważne, ponieważ atakujący nie musi posiadać żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

In JetBrains TeamCity before 2023.11.3 authentication bypass leading to RCE was possible

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-288 (Authentication Bypass Using an Alternate Path) oraz CWE-306 (Missing Authentication for Critical Function) wskazuje, że aplikacja nie wymaga poprawnego uwierzytelnienia dla co najmniej jednej krytycznej funkcji lub udostępnia alternatywną ścieżkę dostępu pomijającą mechanizmy kontroli tożsamości. Nieuwierzytelniony atakujący zdalnie, przez sieć, może wykorzystać tę lukę do uzyskania dostępu do chronionych zasobów serwera TeamCity. W konsekwencji możliwe jest wykonanie dowolnego kodu na serwerze CI/CD.

Skutki

Atakujący może bez żadnych poświadczeń uzyskać pełną kontrolę nad serwerem TeamCity, wykonując dowolny kod (RCE), co może prowadzić do przejęcia pipeline'ów CI/CD, kradzieży sekretów, danych źródłowych oraz dalszego lateral movement w infrastrukturze organizacji.

Mitygacja

Należy niezwłocznie zaktualizować JetBrains TeamCity do wersji 2023.11.3 lub nowszej. Szczegółowe informacje o dostępnych patchach dostępne są w referencjach producenta pod adresem https://www.jetbrains.com/privacy-security/issues-fixed/

Kogo dotyczy

JetBrains TeamCity we wszystkich wersjach przed 2023.11.3

Uwagi

Podatność dotyczy serwerów CI/CD, które często posiadają dostęp do kluczowych zasobów organizacji — repozytoriów kodu, sekretów i środowisk produkcyjnych. Zaleca się priorytetowe traktowanie tej aktualizacji niezależnie od braku potwierdzenia aktywnej eksploatacji.