同社は、TeamCityにおける重大な認証前の脆弱性を修正しました。攻撃者はこの脆弱性を悪用すれば、任意のコマンドを実行し、認証情報を窃取し、セルフホスト型サーバー上のサプライチェーンを侵害できるおそれがありました。
JetBrainsは、自社のDevOpsプラットフォームであるTeamCityに重大なセキュリティ脆弱性が存在すると警告しています。この脆弱性を悪用すれば、認証されていない攻撃者が脆弱なサーバー上で任意のOSコマンドを実行できるおそれがあります。
同社はセキュリティアドバイザリの中で、「この脆弱性が悪用された場合、TeamCityサーバーにHTTP(S)アクセス可能な認証されていない攻撃者が認証チェックを回避し、任意のコマンドを実行できる可能性があります」と述べています。
CVE-2026-63077として追跡されているこの脆弱性は、すべてのTeamCity On-Premisesデプロイメントに影響し、バージョン2025.11.7および2026.1.3で修正されています。
JetBrainsは、この脆弱性がビルド環境、保存された認証情報、およびソフトウェアサプライチェーンを危険にさらす可能性があると警告しています。アップグレードできない顧客に対しては、セキュリティパッチプラグインを直ちに導入するよう推奨しています。
同社は、TeamCity Cloudの顧客については対応の必要はないと説明しています。
認証なしでRCEが可能に
JetBrainsによると、この脆弱性はTeamCityエージェントのポーリングプロトコルに存在しており、HTTP(S)アクセス権を持つ攻撃者が認証を回避し、TeamCityサーバープロセスと同じ権限でコードを実行できてしまいます。
この脆弱性は認証もユーザー操作も必要としないため、CVSSスコアは10点満点中9.8となっており、インターネットに公開されたTeamCityサーバーは特に狙われやすい標的となります。CWE-502(信頼できないデータのデシリアライゼーション)に分類されるこの脆弱性は、影響を受けるエージェントポーリングプロトコルを通じて特別に細工されたデータを送信することで、リモートコード実行(RCE)を引き起こすために悪用される可能性があります。
同社は「TeamCityサーバープロセスに付与されている権限によっては、攻撃が成功するとTeamCityのデータ、設定、保存された認証情報が漏えいし、サーバーの状態が改ざんされ、ビルド成果物や下流のCI/CDパイプラインの整合性が損なわれる可能性があります」と付け加えています。
この問題は、セキュリティ研究者のAntoni Tremblay氏によって7月10日にJetBrainsの協調的開示プロセスを通じて非公開で報告されました。
JetBrainsは、アドバイザリの公開時点で、この脆弱性が実際に悪用された証拠は確認されていないとしています。
開発者が取れる2つの緩和策
JetBrainsは、顧客に対してTeamCity 2025.11.7または2026.1.3への直接アップグレードを推奨しています。いずれのバージョンにも、この脆弱性への恒久的な修正が含まれています。
直ちにアップグレードできない組織は、代わりにセキュリティパッチプラグインを導入できます。これはTeamCityバージョン2017.1以降で利用可能です。同社によると、バージョン2017.1から2018.1で稼働しているサーバーはプラグインのインストール後に再起動が必要ですが、それ以降のサポート対象バージョンでは再起動なしで修正を有効化できるとのことです。
同社はまた、TeamCityサーバーが一般公開されている管理者に対し、いずれの緩和策も直ちに適用できない場合は外部からのアクセスを制限するよう助言しています。
同社は「一般的なベストプラクティスとして、可能な限りTeamCityサーバーへのネットワークアクセスを信頼できるネットワークに限定することを強く推奨します」と述べています。「また、通常運用に必要な最小限のOS権限でTeamCityサーバーを稼働させることも推奨します」としています。
この脆弱性が認証前に悪用可能である性質を持つことに加え、脅威アクターがTeamCityの脆弱性を迅速に武器化してきた実績を踏まえると、セルフホスト型のCI/CDインフラを運用する組織は、通常のメンテナンス作業よりも緊急パッチ適用を優先することが推奨されます。
このアドバイザリでは、公式の手順に従い、TeamCityサーバーをビルドエージェントとは別の専用ホスト上で稼働させることも推奨されています。
