ГлавнаяБаза уязвимостей БДУ → BDU:2023-06415
10критическая

BDU:2023-06415 (CVE-2023-42793)

Уязвимость системы непрерывной интеграции и доставки приложений (CI/CD) JetBrains TeamCity, связанная с обходом процедуры аутентификации посредством использования альтернативного пути или канала, позволяющая нарушителю получить доступ к гостевому порталу без аутентификации
Опубликовано: 2023-10-09
Описание

Уязвимость системы непрерывной интеграции и доставки приложений (CI/CD) JetBrains TeamCity связана с обходом процедуры аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к гостевому порталу без аутентификации

Затрагиваемое ПО и версии
TeamCity (до 2023.05.4)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа;
- отключение функции гостевого входа;
- ограничение доступа из внешних сетей (Интернет) до применения исправлений;
- использование для хранения паролей или других защищенных данных в настройках TeamCity использовать тип «Параметра пароля TeamCity»;
- отключение встроенной аутентификации (учётные данные не будут храниться в TeamCity);
- использование внешних механизмов аутентификации
- использование собственного ключа шифрования для паролей, хранящихся в TeamCity;
- хранение только зашифрованных закрытых SSH-ключей на сервере TeamCity;
- минимизация пользовательских привилегий
- использование авторизации для каждого проекта TeamCity;
- создание отдельного пользователя для REST API TeamCity;
- включение протокола HTTPS в TeamCity.

Использование рекомендаций производителя:
https://www.jetbrains.com/privacy-security/issues-fixed/

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
http://packetstormsecurity.com/files/174860/JetBrains-TeamCity-Unauthenticated-Remote-Code-Execution.htmlhttps://attackerkb.com/topics/1XEEEkGHzt/cve-2023-42793https://blog.jetbrains.com/teamcity/2023/09/cve-2023-42793-vulnerability-post-mortem/https://www.jetbrains.com/privacy-security/issues-fixed/https://www.rapid7.com/blog/post/2023/09/25/etr-cve-2023-42793-critical-authentication-bypass-in-jetbrains-teamcity-ci-cd-servers/https://www.securityweek.com/recently-patched-teamcity-vulnerability-exploited-to-hack-servers/https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv
Проверьте безопасность своего сайта и почты → Полная проверка домена