CVE-2022-36322

En TeamCity anterior a 2022.04.2, un usuario podía inyectar parámetros de compilación, un problema limitado de integridad y confidencialidad que requiere una cuenta autenticada con cierto privilegio para alcanzarse. No es una toma de control remota sin autenticar; es un usuario de menor privilegio doblando la configuración de compilación de maneras que no debería poder. El 5.4 refleja que el impacto es parcial y que la puerta necesita un inicio de sesión válido.

Dicho esto, los sistemas CI son terreno de alto valor porque albergan código fuente, secretos y alcance de despliegue, así que la manipulación de parámetros allí merece tomarse en serio incluso con severidad media. El modelo de amenaza realista es un insider o una cuenta de bajo nivel comprometida en lugar de una botnet de escaneo masivo; no hay nada aquí para atacantes oportunistas de internet, lo que limita el ritmo de explotación.

Sopesaríamos esto según quién puede iniciar sesión en la instancia de TeamCity dada y cuán sensibles son sus pipelines, más que por el CVSS por sí solo. Un servidor de compilación que autentica a un amplio conjunto de desarrolladores y toca producción merece el parche con prontitud; una instancia restringida con un puñado de operadores confiables puede programarse con normalidad. El punto es la proporcionalidad: la precondición ya está haciendo la mayor parte de la reducción de riesgo.