Il 4 marzo JetBrains ha rilasciato TeamCity 2023.11.4 per correggere due vulnerabilità nella versione installata in sede del suo server di integrazione e distribuzione continua. Il giorno stesso i ricercatori di Rapid7, che le avevano scoperte, hanno pubblicato i dettagli tecnici, lamentando di non essere stati avvisati dell’uscita della patch. In meno di 48 ore sono cominciati gli attacchi.
La falla più grave, la CVE-2024-27198 con gravità 9,8, è un bypass dell’autenticazione nel componente web. Con un indirizzo costruito ad arte un attaccante raggiunge funzioni riservate, crea un account amministratore o genera un token di accesso, e da lì prende il controllo completo del server, esecuzione di codice compresa. La seconda, la CVE-2024-27199 con gravità 7,3, è un attraversamento di percorso che dà accesso senza autenticazione a poche funzioni, tra cui la modifica del certificato HTTPS. Sono coinvolte tutte le versioni On-Premises fino alla 2023.11.3; TeamCity Cloud è già corretto.
Il posto migliore per avvelenare il software
Un server di build custodisce il codice sorgente, le credenziali dei repository, le chiavi di firma e gli accessi agli ambienti di produzione. Chi lo controlla può modificare il software prima che arrivi ai clienti, ed è il punto di partenza ideale per un attacco alla catena di fornitura. Il rischio è tutt’altro che teorico: a fine 2023 una falla precedente di TeamCity era stata sfruttata da gruppi legati ai servizi segreti russi e nordcoreani.
Secondo le rilevazioni di questi giorni, oltre 1.400 server esposti su Internet risultano già compromessi, con centinaia di account amministrativi creati dagli attaccanti. L’agenzia statunitense per la cybersicurezza ha aggiunto la falla al catalogo delle vulnerabilità sfruttate. Cosa sia stato fatto con quegli accessi non è ancora chiaro.
Aggiorna alla 2023.11.4 o successiva; se non puoi, installa il plugin di correzione fornito da JetBrains. Poi chiediti perché il server di build sia raggiungibile da Internet: dovrebbe esserlo solo dalla rete interna o tramite VPN. Controlla gli utenti amministratori e i token di accesso, elimina quelli che non riconosci e guarda i plugin installati di recente.
Se trovi segni di compromissione, cambia tutte le credenziali e le chiavi salvate in TeamCity. E verifica l’integrità delle build prodotte nelle ultime settimane: sono quelle che hai consegnato ai clienti.
