Эксперты обнаружили уязвимости в программном обеспечении JetBrains TeamCity On-Premises.
Исследователи Rapid7 обнародовали две новые критические уязвимости в программном обеспечении JetBrains TeamCity On-Premises, которые позволяют злоумышленникам захватить контроль над системами. В рамках CVE-2024-27198 (CVSS-скор: 9.8) и CVE-2024-27199 (CVSS-скор: 7.3) были обнаружены уязвимости в TeamCity On-Premises. Атакующий может воспользоваться этими уязвимостями для получения контроля над затронутыми системами.
Вот описания этих уязвимостей:
CVE-2024-27198 - это уязвимость обхода аутентификации в веб-компоненте TeamCity, возникшая из-за проблемы альтернативного пути и имеющая базовый CVSS-скор 9.8 (Критический).
CVE-2024-27199 - это уязвимость обхода аутентификации в веб-компоненте TeamCity, возникшая из-за проблемы обхода пути и имеющая базовый CVSS-скор 7.3 (Высокий).
"Уязвимости могут позволить неаутентифицированному атакующему с доступом к серверу TeamCity по протоколу HTTP(S) обойти проверки аутентификации и получить административный контроль над этим сервером TeamCity", - гласит рекомендация, опубликованная JetBrains. Уязвимости затрагивают все версии TeamCity On-Premises до 2023.11.3, проблема была устранена с выпуском версии 2023.11.4.
Две уязвимости были обнаружены Стивеном Фьюром, главным исследователем по безопасности в Rapid7, и были раскрыты в соответствии с политикой раскрытия уязвимостей Rapid7. Rapid7 опубликовала подробный анализ этих двух уязвимостей. Описывая уязвимость CVE-2024-27198, исследователи указали на то, что неаутентифицированный атакующий может использовать специально созданный URL для обхода всех проверок аутентификации. Удаленный неаутентифицированный атакующий может использовать эту уязвимость для полного контроля над уязвимым сервером TeamCity.
Недавно JetBrains решила другую критическую уязвимость в серверах TeamCity, зарегистрированную как CVE-2024-23917 (CVSS-скор: 9.8), которую безаутентифицированному атакующему можно использовать для получения административного контроля над серверами.
Тeги
Комментарий
Популярные статьи
Подпишитесь на новостную рассылку от Hatamatata.ru!
Подпишитесь на новостную рассылку от Hatamatata.ru!
Я соглашаюсь с правилами обработки персональных данных и конфиденциальности Hatamatata