Une nouvelle paire de vulnérabilités de sécurité a été révélée dans le logiciel JetBrains TeamCity On-Premises qui pourrait être exploitée par un acteur malveillant pour prendre le contrôle des systèmes affectés.
Les failles, suivies comme CVE-2024-27198 (score CVSS : 9,8) et CVE-2024-27199 (score CVSS : 7,3), ont été corrigées dans la version 2023.11.4. Ils impactent toutes les versions de TeamCity On-Premises jusqu’à 2023.11.3.
« Les vulnérabilités peuvent permettre à un attaquant non authentifié disposant d’un accès HTTP(S) à un serveur TeamCity de contourner les contrôles d’authentification et d’obtenir le contrôle administratif de ce serveur TeamCity », JetBrains dit dans un avis publié lundi.
Les instances TeamCity Cloud ont déjà été corrigées contre les deux failles. La société de cybersécurité Rapid7, qui a découvert et signalé les problèmes le 20 février 2024, a déclaré que CVE-2024-27198 est un cas de contournement d’authentification qui permet une compromission complète d’un serveur sensible par un attaquant distant non authentifié.
« La compromission d’un serveur TeamCity permet à un attaquant de contrôler totalement tous les projets, builds, agents et artefacts TeamCity et, en tant que tel, constitue un vecteur approprié pour positionner un attaquant afin de mener une attaque sur la chaîne d’approvisionnement », a déclaré la société. noté.
CVE-2024-27199, également une faille de contournement d’authentification, provient d’un problème de traversée de chemin qui peut permettre à un attaquant non authentifié de remplacer le certificat HTTPS d’un serveur TeamCity vulnérable par un certificat de son choix via le « /app/https/settings/ uploadCertificate » et même modifier le numéro de port sur lequel le service HTTPS écoute.
Un acteur malveillant pourrait exploiter cette vulnérabilité pour effectuer un déni de service contre le serveur TeamCity, soit en modifiant le numéro de port HTTPS, soit en téléchargeant un certificat qui échouerait à la validation côté client. Alternativement, le certificat téléchargé peut être utilisé pour des scénarios d’adversaire au milieu s’il est approuvé par les clients.
« Ce contournement d’authentification permet d’atteindre un nombre limité de points finaux authentifiés sans authentification », a déclaré Rapid7 à propos de cette lacune.
« Un attaquant non authentifié peut exploiter cette vulnérabilité à la fois pour modifier un nombre limité de paramètres système sur le serveur, ainsi que pour divulguer une quantité limitée d’informations sensibles du serveur. »
Ce développement intervient près d’un mois après que JetBrains a publié des correctifs pour contenir une autre faille (CVE-2024-23917, score CVSS : 9,8) qui pourrait également permettre à un attaquant non authentifié de prendre le contrôle administratif des serveurs TeamCity.
Les vulnérabilités de sécurité de JetBrains TeamCity ayant été activement exploitées l’année dernière par des acteurs malveillants nord-coréens et russes, il est essentiel que les utilisateurs prennent des mesures pour mettre à jour leurs serveurs immédiatement.