CVE-2023-42793

O JetBrains TeamCity anterior a 2023.05.4 possui um bypass de autenticação em seu servidor que leva diretamente à execução remota de código. Ao acessar um caminho de requisição específico, um atacante pode gerar um token de acesso de administrador sem quaisquer credenciais e, então, usar esse token por meio da própria API REST do TeamCity para modificar as configurações do servidor e executar código no host. Toda a cadeia é não autenticada e não precisa de interação do usuário, de modo que a exposição da interface web do TeamCity é a exposição do próprio servidor de build.

O TeamCity é um servidor de CI/CD, o que torna isso um problema de cadeia de suprimentos, não apenas um comprometimento de host único: o sistema de build contém código-fonte, chaves de assinatura, credenciais de implantação e a capacidade de injetar código em software que é entregue a usuários downstream. Atores patrocinados por Estados, incluindo grupos atribuídos a serviços russos e norte-coreanos, militarizaram isso rapidamente para plantar backdoors em ambientes de desenvolvimento, e atacantes comuns vieram em seguida. Atualize para a versão corrigida do TeamCity ou aplique o plugin de correção de segurança do fornecedor para as linhas mais antigas, mantenha o servidor fora da internet pública e, como o comprometimento aqui tem alta consequência, faça auditoria em busca de tokens de administrador não autorizados, configurações de build alteradas e artefatos inesperados criados antes da correção.