CVE-2023-42793
Acerca de
En JetBrains TeamCity anterior a 2023.05.4 era posible una elusión de autenticación que conducía a RCE en el servidor de TeamCity.
Análisis del analista Rainforest
JetBrains TeamCity anterior a 2023.05.4 tiene una elusión de autenticación en su servidor que conduce directamente a la ejecución remota de código. Al acceder a una ruta de solicitud específica, un atacante puede generar un token de acceso de administrador sin ninguna credencial y luego usar ese token a través de la propia REST API de TeamCity para modificar la configuración del servidor y ejecutar código en el host. Toda la cadena es no autenticada y no necesita interacción del usuario, así que la exposición de la interfaz web de TeamCity es la exposición del propio servidor de compilación.
TeamCity es un servidor CI/CD, lo que convierte esto en un problema de cadena de suministro, no solo en el compromiso de un único host: el sistema de compilación contiene código fuente, claves de firma, credenciales de despliegue y la capacidad de inyectar código en software que se distribuye a usuarios posteriores. Actores patrocinados por estados, incluidos grupos atribuidos a servicios rusos y norcoreanos, lo weaponizaron rápidamente para plantar backdoors en entornos de desarrolladores, y los atacantes de uso general siguieron. Actualice a la versión corregida de TeamCity o aplique el plugin de parche de seguridad del proveedor para las líneas más antiguas, mantenga el servidor fuera de la internet pública y, como el compromiso aquí es de alta consecuencia, audite en busca de tokens de administrador ilícitos, configuraciones de compilación alteradas y artefactos inesperados creados antes de parchear.
Referencias
- http://packetstormsecurity.com/files/174860/JetBrains-TeamCity-Unauthenticated-Remote-Code-Execution.html
- https://attackerkb.com/topics/1XEEEkGHzt/cve-2023-42793
- https://blog.jetbrains.com/teamcity/2023/09/cve-2023-42793-vulnerability-post-mortem/
- https://www.jetbrains.com/privacy-security/issues-fixed/
- https://www.rapid7.com/blog/post/2023/09/25/etr-cve-2023-42793-critical-authentication-bypass-in-jetbrains-teamcity-ci-cd-servers/
- https://www.securityweek.com/recently-patched-teamcity-vulnerability-exploited-to-hack-servers/
- https://www.sonarsource.com/blog/teamcity-vulnerability/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-42793
CVEs Relacionadas
Preguntas frecuentes
¿Qué es CVE-2023-42793?
En JetBrains TeamCity anterior a 2023.05.4 era posible una elusión de autenticación que conducía a RCE en el servidor de TeamCity.
¿Qué tan grave es CVE-2023-42793?
CVE-2023-42793 tiene una puntuación base CVSS 3.1 de 9.8, calificada como critical. En el Rainforest Risk Index — que pondera la gravedad junto con lo fácil que es alcanzar la falla y la amplitud de su impacto — obtiene 99 sobre 100, en la banda crítico.
¿Cómo se explota CVE-2023-42793?
Según el vector CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): vector de ataque Red, complejidad de ataque Baja, privilegios necesarios Ninguno, interacción del usuario Ninguna. Impacto en confidencialidad Alto, integridad Alto y disponibilidad Alto.
¿Qué productos afecta CVE-2023-42793?
Los avisos públicos listan como afectados: teamcity. Consulta las referencias de esta página para las versiones exactas que confirma cada proveedor.
¿Cómo se corrige CVE-2023-42793?
Aplica la corrección publicada por el proveedor — las referencias de esta página enlazan a los avisos y parches originales. Cuando no se pueda parchear de inmediato, reduce la exposición del componente afectado y vigila los intentos de explotación. Los clientes de Rainforest ven esta vulnerabilidad correlacionada con sus propios activos y priorizada por la exposición real, no solo por la puntuación.
Potencia tu estrategia de seguridad con Rainforest
Descubre vulnerabilidades a tiempo, prioriza amenazas críticas y protege lo que realmente importa. Rainforest simplifica tus operaciones de seguridad, ahorrando tiempo y reduciendo costos, para que te enfoques en lo que impulsa tu negocio.