CVE-2026-63077

Überblick • Visueller Ablauf • Voraussetzungen • Verwendung • Einschränkungen • Abwehrhinweise

[!CAUTION] Dieser PoC führt einen Betriebssystembefehl aus und kann das TeamCity-Anwendungsverzeichnis verändern. Verwenden Sie ihn nur in einer isolierten Laborumgebung oder gegen Systeme, für die Sie eine ausdrückliche schriftliche Genehmigung besitzen.

⚡ Überblick

JetBrains gibt an, dass alle TeamCity-On-Premises-Versionen vor den behobenen Versionen betroffen sind. Aktualisieren Sie nach Möglichkeit auf eine aktuell unterstützte Version. Falls ein sofortiges Upgrade nicht möglich ist, befolgen Sie die Anweisungen des Herstellers für sein Sicherheitspatch-Plugin.

[!NOTE] Dieses Repository behauptet nicht, dass die CVE im Katalog der Known Exploited Vulnerabilities der CISA aufgeführt ist. JetBrains meldete bei Veröffentlichung seiner Sicherheitsmeldung am 27. Juli 2026 keine bekannte aktive Ausnutzung.

🧬 Visueller Ablauf

Im Überblick führt der PoC Folgendes aus:

1. registriert eine temporäre TeamCity-Agent-Sitzung;
2. übermittelt einen serialisierten XML-Objektgraphen an den Agent-Command-Endpunkt;
3. versucht, eine einmalige JSP-Datei im TeamCity-Web-Root-Verzeichnis zu schreiben;
4. ruft diese Datei auf, um den übergebenen Befehl auszuführen; und
5. zeichnet die erfolgreiche Befehlsausgabe in result.txt auf.

Die generierte JSP versucht, sich beim Aufruf selbst zu löschen. Behandeln Sie die Bereinigung als Best-Effort, nicht als Garantie dafür, dass das Ziel unverändert bleibt.

🧰 Voraussetzungen

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] Das Payload führt Befehle über bash -c aus. Ein Windows-TeamCity-Server benötigt daher eine kompatible Bash-Installation; andernfalls schlägt die Befehlsausführungsphase fehl.

🚀 Verwendung im autorisierten Labor

Führen Sie den PoC aus dem Projektverzeichnis aus:

python3 exploit.py

Das Programm fragt nach einem Ziel, einem Befehl und der gewünschten Thread-Anzahl:

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

Einzelnes Laborziel

Geben Sie die vollständige Basis-URL des Ziels ein. Wenn das URL-Schema fehlt, verwendet das Skript automatisch http://.

Datei mit autorisierten Zielen

Geben Sie für mehrere Laborsysteme den Pfad zu einer Textdatei mit einer URL pro Zeile ein:

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

Fügen Sie den Zielzeilen keine Inline-Kommentare hinzu, da der Parser diese nicht entfernt. Beginnen Sie mit einem Thread und erhöhen Sie die Parallelität erst, nachdem Sie Umfang und Kapazität des autorisierten Labors bestätigt haben.

📄 Ausgabe

Erfolgreiche Ergebnisse werden an result.txt angehängt:

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

Die Datei kann sensible Befehlsausgaben enthalten. Halten Sie sie aus der Versionskontrolle heraus und löschen Sie sie sicher, sobald sie nicht mehr benötigt wird.

⚠️ Bekannte Einschränkungen

• Die TLS-Zertifikatsprüfung ist im aktuellen HTTP-Helfer deaktiviert. Verwenden Sie den PoC nur in einem vertrauenswürdigen Testnetzwerk.
• Die Befehlsausführung setzt voraus, dass bash auf dem TeamCity-Server verfügbar ist.
• Der Web-Root-Pfad ist fest auf ../webapps/ROOT codiert; nicht standardmäßige TeamCity- oder Servlet-Container-Layouts funktionieren möglicherweise nicht.
• Ein fehlgeschlagener Versuch beweist nicht, dass ein Ziel gepatcht ist. Netzwerkzugriffskontrollen, Reverse-Proxys, Dateiberechtigungen, Layoutunterschiede und geänderte Endpunkte können dasselbe Ergebnis liefern.
• Die Folgeeingabe für Einzelziele verweist derzeit auf ein undefiniertes args-Objekt. Der erste übermittelte Befehl wird unabhängig ausgeführt, aber weitere Befehle über diese Eingabeaufforderung schlagen fehl, bis der Code korrigiert ist.

🛡️ Abwehrhinweise

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. Aktualisieren Sie TeamCity On-Premises auf 2025.11.7, 2026.1.3 oder eine neuere unterstützte Version.
2. Falls ein sofortiges Upgrade nicht möglich ist, installieren Sie das Sicherheitspatch-Plugin von JetBrains für unterstützte ältere Versionen.
3. Beschränken Sie den TeamCity-Zugriff auf vertrauenswürdige Netzwerke oder ein VPN. Vermeiden Sie es, die Anmeldeseite und die APIs direkt im Internet bereitzustellen.
4. Führen Sie den TeamCity-Serverprozess mit den minimal erforderlichen Betriebssystemberechtigungen aus.
5. Betreiben Sie den TeamCity-Server auf einem dedizierten Host, getrennt von den Build-Agents.
6. Sichern Sie nach einem vermuteten Angriff Beweise und untersuchen Sie den Server, gespeicherte Anmeldeinformationen, Build-Artefakte und nachgelagerte CI/CD-Systeme.

⚖️ Hinweis zur verantwortungsvollen Nutzung

Dieser Code wird für Sicherheitsforschung, Validierung und defensive Tests in Umgebungen bereitgestellt, die Ihnen gehören oder für deren Bewertung Sie ausdrücklich autorisiert sind. Sie sind dafür verantwortlich, geltende Gesetze, Verträge und Rules of Engagement einzuhalten. Autor und Mitwirkende übernehmen keine Haftung für unbefugte Nutzung oder daraus entstehende Schäden.

📚 Referenzen

• JetBrains-Sicherheitsmeldung
• Von JetBrains behobene Sicherheitsprobleme
• NVD-Eintrag für CVE-2026-63077
• Dokumentation zum TeamCity-Upgrade