Vulnerabilidade de Bypass de Autenticação no TeamCity: Exploit disponível

Uma vulnerabilidade crítica (CVE-2024-27198) na solução TeamCity CI/CD da JetBrains permite que um invasor remoto não autenticado assuma o controle do servidor com privilégios administrativos.

A JetBrains lançou uma nova versão do produto, que inclui uma correção para uma segunda vulnerabilidade menos grave (CVE-2024-27199) que permite modificar um número limitado de configurações do sistema sem a necessidade de autenticação.

Ambos os problemas estão no componente web do TeamCity e afetam todas as versões de instalações locais.

O TeamCity é uma solução de integração e entrega contínuas (CI/CD) que auxilia desenvolvedores de software na construção e no teste de seus produtos de forma automatizada.

Detalhes da vulnerabilidade

As duas vulnerabilidades foram descobertas por Stephen Fewer, pesquisador de segurança principal da Rapid7, e relatadas à JetBrains em meados de fevereiro.

• CVE-2024-27198 (crítica, gravidade 9.8): uma vulnerabilidade de bypass de autenticação no componente web do TeamCity gerada por uma falha de alternative path
• CVE-2024-27199 (alta, gravidade 7.3): uma vulnerabilidade de path traversal no componente web do TeamCity que permite contornar a autenticação.

Os pesquisadores alertam que o CVE-2024-27198 pode dar a um invasor controle total sobre um servidor TeamCity local vulnerável, incluindo a execução remota de código.

"Comprometer um servidor TeamCity permite a um invasor controle total sobre todos os projetos, builds, agentes e artefatos do TeamCity e, portanto, é um vetor adequado para posicionar um invasor para realizar um ataque à cadeia de suprimentos" - Rapid7

A Rapid7 demonstrou a gravidade da falha criando um exploit que gerou uma autenticação e permitiu acesso ao shell (sessão Meterpreter) no servidor TeamCity alvo.

Atualização e mitigação

A JetBrains anunciou o lançamento do TeamCity 2023.11.4, que corrige as duas vulnerabilidades, sem fornecer detalhes sobre os problemas de segurança corrigidos.

Em um segundo post no blog, a empresa divulgou a gravidade dos problemas e os efeitos de explorá-los, observando que "todas as versões até 2023.11.3 são afetadas".

É altamente recomendável que os administradores atualizem seu servidor para a versão 2023.11.4. Se isso não for possível atualmente, um plugin de patch de segurança está disponível para o TeamCity 2018.2 e superior, bem como para o TeamCity 2018.1 e anteriores.

A JetBrains destaca que a variante em nuvem do servidor já foi corrigida e não há indicações de tentativas de agentes maliciosos de direcioná-los usando exploits para qualquer uma das duas vulnerabilidades.

No entanto, instalações locais do TeamCity que não receberam a atualização estão em risco, especialmente porque estão disponíveis instruções detalhadas sobre como disparar e explorar as vulnerabilidades de segurança.

É esperado que os invasores comecem a escanear servidores TeamCity vulneráveis expostos na internet pública e tentem obter acesso com privilégios administrativos para ataques à cadeia de suprimentos.

Quer amadurecer seu programa de segurança cibernética? Conheça a EcoTrust, uma plataforma CAASM (Cyber Asset Attack Surface Management) que prioriza riscos cibernéticos críticos para os negócios, integrando IA para segurança avançada. Agende uma demo aqui

Este artigo foi criado com uso de inteligência artificial generativa e teve a curadoria da Equipe EcoTrust.