JetBrains está alertando a los clientes sobre una falla de seguridad crítica en su software de integración continua e implementación continua (CI/CD) local TeamCity que podría ser explotada por actores de amenazas para hacerse cargo de instancias susceptibles.
La vulnerabilidad, rastreada como CVE-2024-23917tiene una calificación CVSS de 9,8 sobre 10, lo que indica su gravedad.
“La vulnerabilidad puede permitir que un atacante no autenticado con acceso HTTP(S) a un servidor TeamCity evite los controles de autenticación y obtenga el control administrativo de ese servidor TeamCity”, dijo la compañía. dicho.
El problema afecta a todas las versiones locales de TeamCity desde 2017.1 hasta 2023.11.2. Se ha solucionado en la versión 2023.11.3. A un investigador de seguridad externo anónimo se le atribuye el descubrimiento y el informe de la falla el 19 de enero de 2024.
Los usuarios que no puedan actualizar sus servidores a la versión 2023.11.3 pueden descargar alternativamente un complemento de parche de seguridad para aplicar correcciones a la falla.
“Si su servidor es accesible públicamente a través de Internet y no puede tomar una de las medidas de mitigación anteriores de inmediato, le recomendamos hacerlo temporalmente inaccesible hasta que se hayan completado las acciones de mitigación”, aconsejó JetBrains.
Si bien no hay evidencia de que se haya abusado de la deficiencia en la naturaleza, una falla similar en el mismo producto (CVE-2023-42793, puntuación CVSS: 9.8) fue explotada activamente el año pasado a los pocos días de su divulgación pública por parte de múltiples actores de amenazas. incluido bandas de ransomware y grupos patrocinados por estados afiliados a Corea del Norte y Rusia.