CyberOK News - кибер новости

🧨 Критический RCE в JetBrains TeamCity Критическая уязвимость CVE-2026-63077 (CVSS 3.1: 9.8) в JetBrains TeamCity On-Premises была публично раскрыта 27 июля 2026 года. Уязвимость позволяет неаутентифицированному злоумышленнику выполнить произвольные команды ОС на сервере TeamCity через протокол опроса агентов. Эксплуатация «в дикой природе» подтверждена. 📊 Масштаб Уязвимость затрагивает все версии TeamCity On-Premises до 2026.1.3 и до 2025.11.7 включительно. Под ударом находятся организации, использующие TeamCity для CI/CD, где сервер доступен из корпоративной сети или интернета: успешная атака может привести к компрометации сервера, артефактов сборки и downstream-пайплайнов. ⚙️ Механизм эксплуатации Корень проблемы в небезопасной десериализации данных в библиотеке XStream, которую TeamCity использует для обработки XML-запросов от агентов сборки. При обработке запросов через endpoints /app/agents/v1/register и /app/agents/v1/commands/error TeamCity принимает XML от «агента» и десериализует его через XStream. В уязвимых версиях TeamCity настраивает XStream с белым списком классов, но не очищает стандартные разрешения XStream по умолчанию, которые разрешают широкие иерархии типов, включая Map и Throwable. Это позволяет атакующему: 1. Зарегистрировать «агента» через POST и получить сессионный ID в заголовке TeamCity-AgentSessionId. 2. Отправить специально сформированный XML-запрос с сессионным ID. 3. В XML-теле запроса передать gadget chain, который через десериализацию записывает вредоносный JSP-файл (.jspws) в webroot TeamCity. После этого атакующий делает HTTP-запрос к этому JSP-файлу, выполняя команды с правами процесса TeamCity. В патченной версии (2026.1.3 / 2025.11.7) TeamCity добавляет NoTypePermission.NONE перед настройкой белого списка, что очищает все разрешения по умолчанию и делает его эксклюзивным. 💥 Об уязвимости Затронутое ПО: < 2026.1.3 (ветка 2026.1.x) < 2025.11.7 (ветка 2025.11.x). Исправлено: TeamCity 2026.1.3 и 2025.11.7 (релизы от 27.07.2026). Уровень опасности: 🔻 Критический (CVSS 3.1: 9.8). CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Эксплуатация возможна при наличии сетевого доступа к серверу TeamCity (HTTP/HTTPS). 🔍 Индикаторы атаки 1. POST-запросы к /app/agents/v1/register и /app/agents/v1/commands/error с заголовком TeamCity-AgentSessionId от неизвестных IP-адресов. 2. Ошибки десериализации XStream в логах teamcity-server.log с упоминанием ForbiddenClassException: jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage$SchemaMismatchException. 3. Ошибки ConversionException с упоминанием freemarker.ext.beans.HashAdapter, TiedMapEntry, HashSet и LinkedHashMap в логах Java. 4. Сообщения HSQLDB об ошибках записи файлов, например file input/output error: ../webapps/ROOT/*.jspws already exists. 5. Появление новых .jspws-файлов в каталоге webapps/ROOT/ с подозрительным содержимым (JSP-скриптлеты с Runtime.getRuntime().exec()). 6. Исходящие сетевые соединения от процесса TeamCity после записи JSP-файла. 🛡 Рекомендации по защите 1. Немедленно обновите TeamCity On-Premises до 2026.1.3 или 2025.11.7 (или новее). 2. Если обновление невозможно — изолируйте сервер TeamCity от ненадёжных сетей: • ограничьте доступ к портам HTTP/HTTPS только доверенными адресами IP; • заблокируйте доступ к маршрутам /app/agents/v1/* извне. 3. Проверьте логи teamcity-server.log и teamcity-javaLogging-*.log на наличие ошибок десериализации XStream и упоминаний .jspws-файлов. 4. Проверьте каталог webapps/ROOT/ на наличие незнакомых .jspws-файлов. 5. Запустите TeamCity под ограниченной учётной записью ОС: без shell-доступа, с минимальными правами записи и контролем исходящих соединений. 6. Используйте PoC от Rapid7 для валидации обнаружения и проверки, что патч успешно блокирует эксплуатацию. 7. Ссылки: • JetBrains Security Advisory CVE-2026-63077 • CVE-2026-63077 в NVD • CISA KEV Catalog