CVE-2024-27198 — Laboratoire de Détection SOC et Réponse aux Incidents

Contournement d'authentification dans JetBrains TeamCity | Score CVSS : 9.8 (Critique)

Ce projet construit un environnement complet de laboratoire SOC pour simuler, détecter et répondre à CVE-2024-27198 — une vulnérabilité de contournement d'authentification dans JetBrains TeamCity 2023.11.3 utilisant des techniques de confusion de chemin.

Architecture du laboratoire

Démarrage rapide

cd 1-lab-setup
docker-compose up -d

Chaîne d'attaque (MITRE ATT&CK)

Preuves

Serveur victime TeamCity (localhost:8111)

[Tableau de bord TeamCity]

TeamCity 2023.11.3 tournant en tant que serveur victime — version vulnérable confirmée>

Kibana SIEM — Tableau de bord de surveillance SOC

[Tableau de bord SOC Kibana]

Tableau de bord de surveillance des logs en temps réel montrant la chronologie de l'activité d'attaque (19 juin 2026)

Règle d'alerte Kibana — Activée et en cours d'exécution

[Règle d'alerte Kibana]

Règle d'alerte de détection CVE-2024-27198 — Activée, vérification toutes les 1 minute

Structure du dépôt

.
├── 1-lab-setup/
│   ├── docker-compose.yml      # Full stack: TeamCity + PostgreSQL + ELK
│   ├── logstash.conf           # Log pipeline with suspicious tag detection
│   └── kibana.yml              # Kibana configuration
├── 2-detection/
│   ├── sigma/
│   │   └── cve-2024-27198-detect.yml   # Sigma detection rule (MITRE T1190)
│   └── ids-ips/suricata/
│       └── cve-2024-27198.rules        # Suricata IDS rules (3 rules)
├── 3-incident-response/
│   ├── playbook/
│   │   └── SOC-Playbook.md             # Triage → Containment → Eradication
│   └── containment/
│       └── block-ip.sh                 # Auto IP blocking script
└── 4-evidence/
    └── screenshots/                    # Attack evidence (5 screenshots)

Couverture de détection

Règle Sigma

Détecte les modèles de confusion de chemin (?jsp=, ;.jsp) ciblant les points de terminaison de l'API REST TeamCity avec des réponses HTTP 200.

Règles Suricata IDS

Pipeline Logstash

Marque automatiquement les logs contenant ;, .jsp, ou jsp= comme suspicious et les transmet vers l'index Elasticsearch teamcity-logs-*.

Playbook de réponse aux incidents

Voir 3-incident-response/playbook/SOC-Playbook.md

Références

• NVD — CVE-2024-27198
• Analyse Rapid7
• MITRE ATT&CK T1190