CVE-2026-63077

Panoramica • Flusso visivo • Requisiti • Utilizzo • Limitazioni • Mitigazione

[!CAUTION] Questa PoC esegue un comando del sistema operativo e può modificare la directory dell'applicazione TeamCity. Usala solo in un laboratorio isolato o su sistemi per cui disponi di un'autorizzazione scritta esplicita.

⚡ Panoramica

JetBrains dichiara che tutte le release di TeamCity On-Premises precedenti alle versioni corrette sono interessate. Quando possibile, aggiorna a una release attualmente supportata. Se un aggiornamento immediato non è possibile, segui le istruzioni del fornitore per il suo plugin di patch di sicurezza.

[!NOTE] Questo repository non afferma che la CVE sia elencata nel catalogo CISA Known Exploited Vulnerabilities. JetBrains non ha segnalato alcuno sfruttamento attivo noto quando ha pubblicato il suo advisory il 27 luglio 2026.

🧬 Flusso visivo

A livello generale, la PoC:

1. registra una sessione temporanea di agente TeamCity;
2. invia un grafo di oggetti XML serializzato all'endpoint dei comandi dell'agente;
3. tenta di scrivere un file JSP monouso nella web root di TeamCity;
4. richiede tale file per eseguire il comando fornito; e
5. registra l'output del comando riuscito in result.txt.

Il JSP generato tenta di eliminarsi quando viene invocato. Considera la pulizia come best-effort, non come una garanzia che il target rimanga invariato.

🧰 Requisiti

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] Il payload invoca i comandi tramite bash -c. Un server TeamCity su Windows richiede quindi un'installazione Bash compatibile; altrimenti la fase di esecuzione del comando fallirà.

🚀 Utilizzo autorizzato in laboratorio

Esegui la PoC dalla directory del progetto:

python3 exploit.py

Il programma chiede un target, un comando e il numero desiderato di thread:

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

Target singolo in laboratorio

Inserisci l'URL base completo del target. Quando lo schema è omesso, lo script usa automaticamente http://.

File di target autorizzati

Per più sistemi di laboratorio, inserisci il percorso di un file di testo con un URL per riga:

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

Non aggiungere commenti inline alle righe dei target perché il parser non li rimuove. Inizia con un thread e aumenta la concorrenza solo dopo aver confermato l'ambito e la capacità del laboratorio autorizzato.

📄 Output

I risultati riusciti vengono aggiunti a result.txt:

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

Il file può contenere output di comandi sensibili. Non includerlo nel version control ed eliminalo in modo sicuro quando non è più necessario.

⚠️ Limitazioni note

• La verifica dei certificati TLS è disabilitata dall'attuale helper HTTP. Usa la PoC solo su una rete di test attendibile.
• L'esecuzione dei comandi presuppone che bash sia disponibile sul server TeamCity.
• Il percorso della web root è impostato in modo fisso a ../webapps/ROOT; layout non standard di TeamCity o del contenitore servlet potrebbero non funzionare.
• Un tentativo fallito non dimostra che un target sia stato aggiornato. Controlli di rete, reverse proxy, permessi dei file, differenze di layout e modifiche agli endpoint possono produrre lo stesso risultato.
• Il prompt di follow-up per il target singolo fa attualmente riferimento a un oggetto args non definito. Il primo comando inviato viene eseguito in modo indipendente, ma i comandi aggiuntivi da quel prompt falliranno finché il codice non verrà corretto.

🛡️ Linee guida difensive

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. Aggiorna TeamCity On-Premises a 2025.11.7, 2026.1.3 o a una release supportata più recente.
2. Se un aggiornamento immediato è impossibile, installa il plugin di patch di sicurezza di JetBrains per le release precedenti supportate.
3. Limita l'accesso a TeamCity a reti affidabili o a una VPN. Evita di esporre la pagina di login e le API direttamente su internet.
4. Esegui il processo del server TeamCity con i privilegi minimi del sistema operativo di cui necessita.
5. Mantieni il server TeamCity su un host dedicato separato dagli agenti di build.
6. Dopo una sospetta esploitazione, preserva le prove e indaga su server, credenziali archiviate, artefatti di build e sistemi CI/CD a valle.

⚖️ Avviso sull'uso responsabile

Questo codice è fornito per ricerca sulla sicurezza, validazione e test difensivi in ambienti di tua proprietà o che sei esplicitamente autorizzato a valutare. Sei responsabile del rispetto delle leggi, dei contratti e delle regole di ingaggio applicabili. L'autore e i collaboratori non si assumono alcuna responsabilità per usi non autorizzati o danni conseguenti.

📚 Riferimenti

• Avviso di sicurezza JetBrains
• Problemi di sicurezza corretti da JetBrains
• Voce NVD per CVE-2026-63077
• Documentazione sull'aggiornamento di TeamCity