CVE-2026-63077

Aperçu • Flux visuel • Prérequis • Utilisation • Limitations • Atténuation

[!CAUTION] Ce PoC exécute une commande du système d'exploitation et peut modifier le répertoire de l'application TeamCity. Utilisez-le uniquement dans un laboratoire isolé ou sur des systèmes pour lesquels vous disposez d'une autorisation écrite explicite.

⚡ Aperçu

JetBrains indique que toutes les versions On-Premises de TeamCity antérieures aux versions corrigées sont concernées. Mettez à niveau vers une version prise en charge et récente dès que possible. Si une mise à niveau immédiate n'est pas possible, suivez les instructions du fournisseur concernant son plugin de correctif de sécurité.

[!NOTE] Ce dépôt ne prétend pas que la CVE figure dans le catalogue des vulnérabilités connues et exploitées (KEV) de la CISA. JetBrains n'a signalé aucune exploitation active connue lors de la publication de son avis de sécurité le 27 juillet 2026.

🧬 Flux visuel

Dans les grandes lignes, le PoC :

1. enregistre une session d'agent TeamCity temporaire ;
2. soumet un graphe d'objets XML sérialisé au point de terminaison des commandes d'agent ;
3. tente d'écrire un fichier JSP à usage unique sous la racine web de TeamCity ;
4. demande à ce fichier d'exécuter la commande fournie ; et
5. enregistre la sortie des commandes réussies dans result.txt.

Le JSP généré tente de se supprimer lorsqu'il est invoqué. Considérez le nettoyage comme un effort au mieux, et non comme une garantie que la cible restera inchangée.

🧰 Prérequis

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] La charge utile invoque les commandes via bash -c. Un serveur TeamCity sous Windows nécessite donc une installation Bash compatible ; sinon, l'étape d'exécution de la commande échouera.

🚀 Utilisation autorisée en laboratoire

Exécutez le PoC depuis le répertoire du projet :

python3 exploit.py

Le programme demande une cible, une commande et le nombre de threads souhaité :

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

Cible unique en laboratoire

Saisissez l'URL de base complète de la cible. Lorsque le schéma est omis, le script utilise automatiquement http://.

Fichier de cibles autorisées

Pour plusieurs systèmes de laboratoire, saisissez le chemin d'un fichier texte contenant une URL par ligne :

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

N'ajoutez pas de commentaires en ligne aux lignes de cibles, car l'analyseur ne les supprime pas. Commencez avec un seul thread et n'augmentez la concurrence qu'après avoir confirmé la portée et la capacité du laboratoire autorisé.

📄 Sortie

Les résultats réussis sont ajoutés à result.txt :

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

Le fichier peut contenir des sorties de commandes sensibles. Tenez-le hors du contrôle de version et supprimez-le de manière sécurisée lorsqu'il n'est plus nécessaire.

⚠️ Limitations connues

• La vérification des certificats TLS est désactivée par le helper HTTP actuel. N'utilisez le PoC que sur un réseau de test de confiance.
• L'exécution de commandes suppose que bash est disponible sur le serveur TeamCity.
• Le chemin de la racine web est codé en dur sur ../webapps/ROOT ; les configurations non standard de TeamCity ou du conteneur de servlets peuvent ne pas fonctionner.
• Un échec ne prouve pas que la cible est corrigée. Les contrôles réseau, les proxys inverses, les permissions de fichiers, les différences de configuration et les changements de points de terminaison peuvent produire le même résultat.
• L'invite de suivi pour une cible unique référence actuellement un objet args non défini. La première commande soumise s'exécute indépendamment, mais les commandes supplémentaires issues de cette invite échoueront tant que le code n'est pas corrigé.

🛡️ Recommandations défensives

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. Mettez à niveau TeamCity On-Premises vers 2025.11.7, 2026.1.3 ou une version prise en charge plus récente.
2. Si une mise à niveau immédiate est impossible, installez le plugin de correctif de sécurité de JetBrains pour les anciennes versions prises en charge.
3. Limitez l'accès à TeamCity aux réseaux de confiance ou à un VPN. Évitez d'exposer la page de connexion et les API directement sur Internet.
4. Exécutez le processus du serveur TeamCity avec les privilèges système minimaux dont il a besoin.
5. Hébergez le serveur TeamCity sur un hôte dédié, séparé des agents de build.
6. Après une exploitation suspectée, préservez les preuves et examinez le serveur, les identifiants stockés, les artefacts de build et les systèmes CI/CD en aval.

⚖️ Avis d'utilisation responsable

Ce code est fourni pour la recherche en sécurité, la validation et les tests défensifs dans des environnements que vous possédez ou que vous êtes explicitement autorisé à évaluer. Vous êtes responsable du respect des lois, contrats et règles d'engagement applicables. L'auteur et les contributeurs déclinent toute responsabilité en cas d'utilisation non autorisée ou de dommages qui en résulteraient.

📚 Références

• Avis de sécurité JetBrains
• Problèmes de sécurité corrigés par JetBrains
• Entrée NVD pour CVE-2026-63077
• Documentation de mise à niveau de TeamCity