🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
🧨 Критический RCE в JetBrains TeamCity
Критическая уязвимость CVE-2026-63077 (CVSS 3.1: 9.8) в JetBrains TeamCity On-Premises была публично раскрыта 27 июля 2026 года. Уязвимость позволяет неаутентифицированному злоумышленнику выполнить произвольные команды ОС на сервере TeamCity через протокол опроса агентов. Эксплуатация «в дикой природе» подтверждена.
📊 Масштаб
Уязвимость затрагивает все версии TeamCity On-Premises до 2026.1.3 и до 2025.11.7 включительно. Под ударом находятся организации, использующие TeamCity для CI/CD, где сервер доступен из корпоративной сети или интернета: успешная атака может привести к компрометации сервера, артефактов сборки и downstream-пайплайнов.
⚙️ Механизм эксплуатации
Корень проблемы в небезопасной десериализации данных в библиотеке XStream, которую TeamCity использует для обработки XML-запросов от агентов сборки.
При обработке запросов через endpoints /app/agents/v1/register и /app/agents/v1/commands/error TeamCity принимает XML от «агента» и десериализует его через XStream. В уязвимых версиях TeamCity настраивает XStream с белым списком классов, но не очищает стандартные разрешения XStream по умолчанию, которые разрешают широкие иерархии типов, включая Map и Throwable.
Это позволяет атакующему:
1. Зарегистрировать «агента» через POST и получить сессионный ID в заголовке TeamCity-AgentSessionId.
2. Отправить специально сформированный XML-запрос с сессионным ID.
3. В XML-теле запроса передать gadget chain, который через десериализацию записывает вредоносный JSP-файл (.jspws) в webroot TeamCity. После этого атакующий делает HTTP-запрос к этому JSP-файлу, выполняя команды с правами процесса TeamCity.
В патченной версии (2026.1.3 / 2025.11.7) TeamCity добавляет NoTypePermission.NONE перед настройкой белого списка, что очищает все разрешения по умолчанию и делает его эксклюзивным.
💥 Об уязвимости
Затронутое ПО:
< 2026.1.3 (ветка 2026.1.x)
< 2025.11.7 (ветка 2025.11.x).
Исправлено:
TeamCity 2026.1.3 и 2025.11.7 (релизы от 27.07.2026).
Уровень опасности:
🔻 Критический (CVSS 3.1: 9.8).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Эксплуатация возможна при наличии сетевого доступа к серверу TeamCity (HTTP/HTTPS).
🔍 Индикаторы атаки
1. POST-запросы к /app/agents/v1/register и /app/agents/v1/commands/error с заголовком TeamCity-AgentSessionId от неизвестных IP-адресов.
2. Ошибки десериализации XStream в логах teamcity-server.log с упоминанием ForbiddenClassException: jetbrains.buildServer.serverSide.metadata.impl.metadata.HSQLMetadataStorage$SchemaMismatchException.
3. Ошибки ConversionException с упоминанием freemarker.ext.beans.HashAdapter, TiedMapEntry, HashSet и LinkedHashMap в логах Java.
4. Сообщения HSQLDB об ошибках записи файлов, например file input/output error: ../webapps/ROOT/*.jspws already exists.
5. Появление новых .jspws-файлов в каталоге webapps/ROOT/ с подозрительным содержимым (JSP-скриптлеты с Runtime.getRuntime().exec()).
6. Исходящие сетевые соединения от процесса TeamCity после записи JSP-файла.
🛡 Рекомендации по защите
1. Немедленно обновите TeamCity On-Premises до 2026.1.3 или 2025.11.7 (или новее).
2. Если обновление невозможно — изолируйте сервер TeamCity от ненадёжных сетей:
• ограничьте доступ к портам HTTP/HTTPS только доверенными адресами IP;
• заблокируйте доступ к маршрутам /app/agents/v1/* извне.
3. Проверьте логи teamcity-server.log и teamcity-javaLogging-*.log на наличие ошибок десериализации XStream и упоминаний .jspws-файлов.
4. Проверьте каталог webapps/ROOT/ на наличие незнакомых .jspws-файлов.
5. Запустите TeamCity под ограниченной учётной записью ОС: без shell-доступа, с минимальными правами записи и контролем исходящих соединений.
6. Используйте PoC от Rapid7 для валидации обнаружения и проверки, что патч успешно блокирует эксплуатацию.
7. Ссылки:
• JetBrains Security Advisory CVE-2026-63077
• CVE-2026-63077 в NVD
• CISA KEV Catalog
