CVE-2026-63077

Visão geral • Fluxo visual • Requisitos • Uso • Limitações • Mitigação

[!CAUTION] Este PoC executa um comando do sistema operacional e pode modificar o diretório da aplicação TeamCity. Utilize-o apenas em um laboratório isolado ou em sistemas para os quais você tenha autorização explícita por escrito.

⚡ Visão geral

A JetBrains afirma que todas as versões do TeamCity On-Premises anteriores às versões corrigidas são afetadas. Atualize para uma versão suportada atual sempre que possível. Se uma atualização imediata não for possível, siga as instruções do fornecedor para o plugin de patch de segurança.

[!NOTE] Este repositório não afirma que o CVE está listado no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. A JetBrains não relatou exploração ativa conhecida quando publicou seu aviso em 27 de julho de 2026.

🧬 Fluxo visual

Em alto nível, o PoC:

1. registra uma sessão temporária de agente do TeamCity;
2. envia um grafo de objetos XML serializado para o endpoint de comandos do agente;
3. tenta gravar um arquivo JSP de uso único na raiz web do TeamCity;
4. solicita esse arquivo para executar o comando fornecido; e
5. registra a saída do comando bem-sucedido em result.txt.

O JSP gerado tenta se excluir quando invocado. Trate a limpeza como melhor esforço, não como garantia de que o alvo permanecerá inalterado.

🧰 Requisitos

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] O payload invoca comandos via bash -c. Um servidor TeamCity Windows, portanto, requer uma instalação Bash compatível; caso contrário, o estágio de execução do comando falhará.

🚀 Uso autorizado em laboratório

Execute o PoC a partir do diretório do projeto:

python3 exploit.py

O programa solicita um alvo, um comando e o número desejado de threads:

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

Alvo único de laboratório

Insira a URL base completa do alvo. Quando o esquema for omitido, o script usa http:// automaticamente.

Arquivo de alvos autorizados

Para vários sistemas de laboratório, insira o caminho para um arquivo de texto com uma URL por linha:

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

Não adicione comentários inline às linhas de alvos porque o parser não os remove. Comece com uma thread e aumente a concorrência somente depois de confirmar o escopo e a capacidade do laboratório autorizado.

📄 Saída

Os resultados bem-sucedidos são anexados a result.txt:

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

O arquivo pode conter saída sensível de comandos. Mantenha-o fora do controle de versão e exclua-o com segurança quando não for mais necessário.

⚠️ Limitações conhecidas

• A verificação de certificados TLS está desabilitada no helper HTTP atual. Use o PoC somente em uma rede de teste confiável.
• A execução de comandos pressupõe que bash esteja disponível no servidor TeamCity.
• O caminho da raiz web está codificado como ../webapps/ROOT; layouts não padronizados do TeamCity ou do contêiner de servlets podem não funcionar.
• Uma tentativa falha não prova que um alvo está corrigido. Controles de rede, proxies reversos, permissões de arquivos, diferenças de layout e alterações de endpoints podem produzir o mesmo resultado.
• O prompt de acompanhamento para alvo único atualmente referencia um objeto args indefinido. O primeiro comando enviado é executado de forma independente, mas comandos adicionais a partir desse prompt falharão até que o código seja corrigido.

🛡️ Orientações defensivas

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. Atualize o TeamCity On-Premises para 2025.11.7, 2026.1.3 ou uma versão suportada mais recente.
2. Se a atualização imediata for impossível, instale o plugin de patch de segurança da JetBrains para versões antigas suportadas.
3. Restrinja o acesso ao TeamCity a redes confiáveis ou uma VPN. Evite expor a página de login e as APIs diretamente à internet.
4. Execute o processo do servidor TeamCity com os privilégios mínimos de sistema operacional que ele exige.
5. Mantenha o servidor TeamCity em um host dedicado, separado dos agentes de build.
6. Após suspeita de exploração, preserve as evidências e investigue o servidor, as credenciais armazenadas, os artefatos de build e os sistemas CI/CD a jusante.

⚖️ Aviso de uso responsável

Este código é fornecido para pesquisa de segurança, validação e testes defensivos em ambientes que você possui ou que está explicitamente autorizado a avaliar. Você é responsável por cumprir as leis, contratos e regras de engajamento aplicáveis. O autor e os colaboradores não aceitam responsabilidade por uso não autorizado ou danos resultantes.

📚 Referências

• Aviso de segurança da JetBrains
• Problemas de segurança corrigidos pela JetBrains
• Entrada do NVD para CVE-2026-63077
• Documentação de atualização do TeamCity