CVE-2024-27198 — Laboratorio de Detección SOC y Respuesta a Incidentes

Bypass de Autenticación en JetBrains TeamCity | Puntuación CVSS: 9.8 (Crítico)

Este proyecto construye un entorno completo de Laboratorio SOC para simular, detectar y responder a CVE-2024-27198 — una vulnerabilidad de bypass de autenticación en JetBrains TeamCity 2023.11.3 usando técnicas de confusión de ruta.

Arquitectura del Laboratorio

Inicio Rápido

cd 1-lab-setup
docker-compose up -d

Cadena de Ataque (MITRE ATT&CK)

Evidencia

Servidor Víctima TeamCity (localhost:8111)

[TeamCity Dashboard]

TeamCity 2023.11.3 ejecutándose como servidor víctima — versión vulnerable confirmada

Kibana SIEM — Panel de Monitorización SOC

[Kibana SOC Dashboard]

Panel de monitorización de logs en tiempo real mostrando la línea de tiempo de actividad de ataque (19 de junio de 2026)

Regla de Alerta de Kibana — Habilitada y Ejecutándose

[Kibana Alert Rule]

Regla de Alerta de Detección CVE-2024-27198 — Habilitada, comprobando cada 1 minuto

Estructura del Repositorio

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # Stack completo: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # Pipeline de logs con detección de etiquetas sospechosas
│   └── kibana.yml              # Configuración de Kibana
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Regla de detección Sigma (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Reglas IDS de Suricata (3 reglas)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # Triage → Contención → Erradicación
│   └── containment/
│       └── block-ip.sh                 # Script de bloqueo automático de IP
└── 4-evidence/
    └── screenshots/                    # Evidencia de ataque (5 capturas de pantalla)

Cobertura de Detección

Regla Sigma

Detecta patrones de confusión de ruta (?jsp=, ;.jsp) dirigidos a endpoints de la API REST de TeamCity con respuestas HTTP 200.

Reglas IDS de Suricata

Pipeline de Logstash

Etiqueta automáticamente logs que contienen ;, .jsp o jsp= como suspicious y los reenvía al índice de Elasticsearch teamcity-logs-*.

Guía de Respuesta a Incidentes

Véase 3-incident-response/playbook/SOC-Playbook.md

Referencias

• NVD — CVE-2024-27198
• Análisis de Rapid7
• MITRE ATT&CK T1190