CVE-2026-63077

개요 • 시각적 흐름 • 요구 사항 • 사용법 • 제한 사항 • 완화 조치

[!CAUTION] 이 PoC는 운영체제 명령을 실행하며 TeamCity 애플리케이션 디렉터리를 수정할 수 있습니다. 격리된 실습 환경 또는 명시적인 서면 승인을 받은 시스템에서만 사용하세요.

⚡ 개요

JetBrains는 수정 버전 이전의 모든 TeamCity On-Premises 릴리스가 영향을 받는다고 밝혔습니다. 가능하면 현재 지원되는 릴리스로 업그레이드하세요. 즉시 업그레이드가 불가능하면 공급업체의 보안 패치 플러그인에 대한 지침을 따르세요.

[!NOTE] 이 저장소는 해당 CVE가 CISA KEV(공개적으로 악용된 취약점) 카탈로그에 등재되어 있다고 주장하지 않습니다. JetBrains는 2026년 7월 27일 권고를 게시할 당시 알려진 활발한 악용 사례가 없다고 보고했습니다.

🧬 시각적 흐름

개략적으로 PoC는 다음을 수행합니다:

1. 임시 TeamCity 에이전트 세션을 등록합니다;
2. 직렬화된 XML 객체 그래프를 에이전트 명령 엔드포인트에 제출합니다;
3. TeamCity 웹 루트 아래에 일회성 JSP 파일을 쓰려고 시도합니다;
4. 해당 파일을 요청하여 제공된 명령을 실행하며;
5. 성공적인 명령 출력을 result.txt에 기록합니다.

생성된 JSP는 호출될 때 자신을 삭제하려고 시도합니다. 정리는 최선 노력(best-effort)으로 간주하세요. 대상이 변경되지 않은 상태로 남는다는 보장은 아닙니다.

🧰 요구 사항

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] 페이로드는 bash -c를 통해 명령을 호출합니다. 따라서 Windows TeamCity 서버에는 호환되는 Bash 설치가 필요합니다. 그렇지 않으면 명령 실행 단계가 실패합니다.

🚀 승인된 실습 환경 사용

프로젝트 디렉터리에서 PoC를 실행하세요:

python3 exploit.py

프로그램은 대상, 명령, 원하는 스레드 수를 묻습니다:

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

단일 실습 환경 대상

대상의 전체 기본 URL을 입력하세요. 스킴이 생략되면 스크립트는 자동으로 http://를 사용합니다.

승인된 대상 파일

여러 실습 시스템의 경우 줄마다 URL이 하나씩 있는 텍스트 파일의 경로를 입력하세요:

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

파서가 제거하지 않으므로 대상 줄에 인라인 주석을 추가하지 마세요. 스레드 1개로 시작하고 승인된 실습 환경의 범위와 용량을 확인한 후에만 동시성을 늘리세요.

📄 출력

성공적인 결과는 result.txt에 추가됩니다:

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

이 파일에는 민감한 명령 출력이 포함될 수 있습니다. 버전 관리에서 제외하고 더 이상 필요하지 않으면 안전하게 삭제하세요.

⚠️ 알려진 제한 사항

• 현재 HTTP 헬퍼는 TLS 인증서 검증을 비활성화합니다. 신뢰할 수 있는 테스트 네트워크에서만 PoC를 사용하세요.
• 명령 실행은 TeamCity 서버에서 bash를 사용할 수 있다고 가정합니다.
• 웹 루트 경로는 ../webapps/ROOT으로 하드코딩되어 있습니다. 비표준 TeamCity 또는 서블릿 컨테이너 레이아웃에서는 작동하지 않을 수 있습니다.
• 실패한 시도가 대상이 패치되었다는 증거는 아닙니다. 네트워크 제어, 리버스 프록시, 파일 권한, 레이아웃 차이, 엔드포인트 변경도 동일한 결과를 낼 수 있습니다.
• 단일 대상 후속 프롬프트는 현재 정의되지 않은 args 객체를 참조합니다. 처음 제출된 명령은 독립적으로 실행되지만, 코드가 수정될 때까지 해당 프롬프트의 추가 명령은 실패합니다.

🛡️ 방어 지침

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. TeamCity On-Premises를 2025.11.7, 2026.1.3 또는 최신 지원 릴리스로 업그레이드하세요.
2. 즉시 업그레이드가 불가능하면 지원되는 이전 릴리스용 JetBrains 보안 패치 플러그인을 설치하세요.
3. TeamCity 액세스를 신뢰할 수 있는 네트워크 또는 VPN으로 제한하세요. 로그인 페이지와 API를 인터넷에 직접 노출하지 마세요.
4. TeamCity 서버 프로세스를 필요한 최소 운영체제 권한으로 실행하세요.
5. TeamCity 서버를 빌드 에이전트와 분리된 전용 호스트에 유지하세요.
6. 악용이 의심되면 증거를 보존하고 서버, 저장된 자격 증명, 빌드 아티팩트, 다운스트림 CI/CD 시스템을 조사하세요.

⚖️ 책임 있는 사용 고지

이 코드는 귀하가 소유하거나 명시적으로 평가 권한을 받은 환경에서의 보안 연구, 검증, 방어적 테스트를 위해 제공됩니다. 귀하는 적용 가능한 법률, 계약, 참여 규칙을 준수할 책임이 있습니다. 작성자와 기여자는 무단 사용 또는 그로 인한 손해에 대해 책임을 지지 않습니다.

📚 참고 자료

• JetBrains 보안 권고
• JetBrains 수정된 보안 이슈
• CVE-2026-63077 NVD 항목
• TeamCity 업그레이드 문서