CVE-2026-63077

Resumen • Flujo visual • Requisitos • Uso • Limitaciones • Mitigación

[!CAUTION] Este PoC ejecuta un comando del sistema operativo y puede modificar el directorio de la aplicación TeamCity. Úselo únicamente en un laboratorio aislado o contra sistemas para los que tenga autorización explícita por escrito.

⚡ Resumen

JetBrains afirma que todas las versiones de TeamCity On-Premises anteriores a las versiones corregidas están afectadas. Actualice a una versión compatible actual siempre que sea posible. Si no es posible actualizar de inmediato, siga las instrucciones del proveedor para su plugin de parche de seguridad.

[!NOTE] Este repositorio no afirma que el CVE esté incluido en el catálogo de vulnerabilidades explotadas conocidas de CISA. JetBrains no informó de explotación activa conocida cuando publicó su aviso el 27 de julio de 2026.

🧬 Flujo visual

A alto nivel, el PoC:

1. registra una sesión temporal de agente de TeamCity;
2. envía un grafo de objetos XML serializado al endpoint de comandos del agente;
3. intenta escribir un archivo JSP de un solo uso bajo la raíz web de TeamCity;
4. solicita ese archivo para ejecutar el comando proporcionado; y
5. registra la salida del comando ejecutado correctamente en result.txt.

El JSP generado intenta eliminarse a sí mismo al ser invocado. Considere la limpieza como un mecanismo de mejor esfuerzo, no como una garantía de que el objetivo quede sin cambios.

🧰 Requisitos

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] El payload invoca comandos a través de bash -c. Un servidor TeamCity en Windows requiere, por lo tanto, una instalación de Bash compatible; de lo contrario, la etapa de ejecución de comandos fallará.

🚀 Uso autorizado en laboratorio

Ejecute el PoC desde el directorio del proyecto:

python3 exploit.py

El programa solicita un objetivo, un comando y el número deseado de hilos:

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

Objetivo único de laboratorio

Ingrese la URL base completa del objetivo. Cuando se omite el esquema, el script usa http:// automáticamente.

Archivo de objetivos autorizados

Para varios sistemas de laboratorio, ingrese la ruta a un archivo de texto con una URL por línea:

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

No agregue comentarios en línea a las líneas de objetivos porque el analizador no los elimina. Comience con un hilo y aumente la concurrencia solo después de confirmar el alcance y la capacidad del laboratorio autorizado.

📄 Salida

Los resultados exitosos se añaden a result.txt:

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

El archivo puede contener salida sensible de comandos. Manténgalo fuera del control de versiones y elimínelo de forma segura cuando ya no sea necesario.

⚠️ Limitaciones conocidas

• La verificación de certificados TLS está deshabilitada en el helper HTTP actual. Use el PoC solo en una red de prueba confiable.
• La ejecución de comandos asume que bash está disponible en el servidor TeamCity.
• La ruta de la raíz web está codificada como ../webapps/ROOT; las estructuras no estándar de TeamCity o del contenedor de servlets pueden no funcionar.
• Un intento fallido no demuestra que un objetivo esté parcheado. Los controles de red, los proxies inversos, los permisos de archivos, las diferencias de estructura y los cambios en los endpoints pueden producir el mismo resultado.
• El mensaje de seguimiento de objetivo único actualmente hace referencia a un objeto args indefinido. El primer comando enviado se ejecuta de forma independiente, pero los comandos adicionales de ese mensaje fallarán hasta que se corrija el código.

🛡️ Guía de defensa

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. Actualice TeamCity On-Premises a 2025.11.7, 2026.1.3 o una versión compatible más reciente.
2. Si no es posible actualizar de inmediato, instale el plugin de parche de seguridad de JetBrains para versiones antiguas compatibles.
3. Restrinja el acceso a TeamCity a redes confiables o a una VPN. Evite exponer la página de inicio de sesión y las API directamente a Internet.
4. Ejecute el proceso del servidor TeamCity con los privilegios mínimos del sistema operativo que requiera.
5. Mantenga el servidor TeamCity en un host dedicado, separado de los agentes de compilación.
6. Tras una posible explotación, conserve las evidencias e investigue el servidor, las credenciales almacenadas, los artefactos de compilación y los sistemas de CI/CD posteriores.

⚖️ Aviso de uso responsable

Este código se proporciona para investigación, validación y pruebas defensivas de seguridad en entornos que usted posee o que tiene autorización explícita para evaluar. Usted es responsable de cumplir con las leyes, contratos y reglas de participación aplicables. El autor y los colaboradores no aceptan ninguna responsabilidad por el uso no autorizado o los daños resultantes.

📚 Referencias

• Aviso de seguridad de JetBrains
• Problemas de seguridad corregidos por JetBrains
• Entrada de NVD para CVE-2026-63077
• Documentación de actualización de TeamCity