Eine kritische Sicherheitslücke bei TeamCity betrifft alle On-Premises-Versionen der Build‑ und Deployment‑Server. Sie erlaubt es Angreifern, CI/CD-Pipelines zu kompromittieren. JetBrains rät dringend zum Update und hat bereits entsprechende Updates bereitgestellt. Cloud-Kunden müssen nicht handeln.
Die am 10. Juli gemeldete Sicherheitslücke betrifft das TeamCity agent polling protocol. JetBrains stuft sie mit dem CVE-Eintrag (Common Vulnerabilities and Exposures) CVE-2026-63077 als kritisch ein, mit einem CVSS-Score von 9.8/10. Zum Zeitpunkt der Veröffentlichung waren keine aktiven Angriffe bekannt, wie JetBrains in seinem Blogeintrag schreibt.
Nutzen Bedrohungsakteure die Sicherheitslücke aus, können sie sämtliche Authentifizierungsmechanismen des Tools umgehen und anschließend beliebige Betriebssystembefehle auf dem Server ausführen. Je nachdem, welche Rechte der Serverprozess besitzt, kann ein erfolgreicher Angriff TeamCity‑Daten, Konfigurationen und gespeicherte Zugangsdaten offenlegen oder den Serverzustand manipulieren.
Manuelle und automatische Updates
Die Serverversionen 2025.11.7 und 2026.1.3 schließen die kritische Sicherheitslücke auf der Software-Build-Plattform. Sie lassen sich jeweils auch per automatischem Update aufspielen. Zusätzlich stellt JetBrains ein Sicherheitspatch-Plugin für Serverversionen ab 2017.1 zur Verfügung.
Um Cyberbedrohungen möglichst wenig Angriffsfläche zu bieten, empfiehlt JetBrains Entwicklerinnen und Entwicklern, den Zugriff auf On-Premises-Server auf vertrauenswürdige Netzwerke zu beschränken und die Server mit minimal erforderlichen Betriebssystemrechten zu betreiben. TeamCity‑Server sollten zudem auf dedizierten Hosts laufen, die von den Build‑Agenten getrennt sind.
Die On-Premises-Versionen von JetBrains' CI/CD-Server waren in der jüngeren Vergangenheit immer wieder Angriffen ausgesetzt, die zum Beispiel unter CVE-2024-23917 (CVSS 9.8) und CVE-2024-27199 (CVSS 7.3) verbucht sind.
(mro)
English (US) ·