JetBrainsは今週、TeamCity On-Premisesに存在する深刻度の高い脆弱性に対するパッチを公開しました。この脆弱性は認証なしで悪用可能です。
CVE-2026-63077として追跡されているこの脆弱性(CVSSスコア9.8)は、HTTP/S経由で悪用され、認証をバイパスしてリモートコード実行(RCE)を引き起こす可能性があります。
JetBrainsはアドバイザリの中で、「認証されていない攻撃者は、TeamCityエージェントのポーリングプロトコルを介してこの脆弱性を悪用し、認証チェックをバイパスして、TeamCityサーバープロセスの権限で任意のOSコマンドを実行できる可能性があります」と説明しています。
付与されている権限次第では、攻撃者はTeamCityのデータ、設定、認証情報にアクセスできるほか、サーバーの状態を改ざんしたり、ビルド成果物や下流のCI/CDパイプラインを侵害したりする可能性もあります。
JetBrainsによると、この不具合はTeamCity On-Premisesの全バージョンに影響します。同社はTeamCity Cloudインスタンスについてはすでに緩和策を展開済みで、この脆弱性が実際に悪用された証拠は確認されていないとしています。
JetBrainsは、「この脆弱性の修正はバージョン2025.11.7および2026.1.3で導入済みです。アップグレードできないお客様が環境にパッチを適用できるよう、2017.1以降向けのセキュリティパッチプラグインもリリースしました」と発表しています。
ユーザーには、TeamCityの最新バージョンまたはセキュリティパッチプラグインのいずれかを、できるだけ早くダウンロードしてインストールすることが推奨されています(なお、同社によればこのプラグインはこのCVEのみを解決するものです)。
JetBrainsはまた、インターネットに公開されているTeamCityサーバーへのアクセスを制限すること、すべてのサーバーを必要最小限のOS権限で実行すること、そしてVPN接続の利用や不正アクセスを防ぐための追加的な保護策の実装を推奨しています。
「TeamCityサーバーは、ビルドエージェントとは別の専用ホスト上で稼働させるべきです」と同社は指摘しています。
翻訳元: https://www.securityweek.com/critical-code-execution-vulnerability-patched-in-teamcity/
