CVE-2026-63077

Обзор • Визуальная схема • Требования • Использование • Ограничения • Защита

[!CAUTION] Этот PoC выполняет команду операционной системы и может изменять каталог приложения TeamCity. Используйте его только в изолированной лабораторной среде или против систем, на которые у вас есть явное письменное разрешение.

⚡ Обзор

JetBrains сообщает, что уязвимы все выпуски TeamCity On-Premises, предшествующие исправленным версиям. По возможности обновитесь до актуальной поддерживаемой версии. Если немедленное обновление невозможно, следуйте инструкциям вендора по установке его плагина безопасности.

[!NOTE] Этот репозиторий не утверждает, что CVE внесён в каталог CISA Known Exploited Vulnerabilities. JetBrains не сообщала об известных случаях активной эксплуатации, когда публиковала свой бюллетень 27 июля 2026 года.

🧬 Визуальная схема

На высоком уровне PoC:

1. регистрирует временную сессию агента TeamCity;
2. отправляет сериализованный граф объектов XML на конечную точку команд агента;
3. пытается записать одноразовый JSP-файл в корень веб-приложения TeamCity;
4. запрашивает этот файл для выполнения заданной команды; и
5. сохраняет вывод успешно выполненной команды в result.txt.

Сгенерированный JSP пытается удалить себя при вызове. Относитесь к очистке как к попытке (best-effort), а не как к гарантии того, что целевая система останется без изменений.

🧰 Требования

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] Полезная нагрузка выполняет команды через bash -c. Поэтому серверу TeamCity под Windows требуется совместимая установка Bash; в противном случае этап выполнения команды завершится ошибкой.

🚀 Использование в авторизованной лабораторной среде

Запустите PoC из каталога проекта:

python3 exploit.py

Программа запрашивает цель, команду и желаемое количество потоков:

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

Одиночная лабораторная цель

Введите полный базовый URL цели. Если схема не указана, скрипт автоматически использует http://.

Файл с авторизованными целями

Для нескольких лабораторных систем укажите путь к текстовому файлу с одним URL в строке:

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

Не добавляйте встроенные комментарии в строки с целями, поскольку парсер их не удаляет. Начните с одного потока и увеличивайте число одновременных потоков только после подтверждения границ и возможностей авторизованной лаборатории.

📄 Результаты

Успешные результаты добавляются в result.txt:

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

Файл может содержать чувствительные результаты выполнения команд. Не храните его в системе контроля версий и надёжно удалите, когда он больше не нужен.

⚠️ Известные ограничения

• Проверка TLS-сертификатов отключена в текущем HTTP-хелпере. Используйте PoC только в доверенной тестовой сети.
• Выполнение команды предполагает, что на сервере TeamCity доступен bash.
• Путь к корню веб-приложения жёстко задан как ../webapps/ROOT; нестандартные структуры каталогов TeamCity или сервлет-контейнеров могут не работать.
• Неудачная попытка не доказывает, что на цели установлено исправление. Сетевые фильтры, обратные прокси, права доступа к файлам, различия в структуре каталогов и изменения конечных точек могут дать тот же результат.
• Последующий запрос для одиночной цели в текущей версии ссылается на неопределённый объект args. Первая отправленная команда выполняется независимо, однако дополнительные команды из этого запроса будут завершаться ошибкой, пока код не исправят.

🛡️ Рекомендации по защите

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. Обновите TeamCity On-Premises до 2025.11.7, 2026.1.3 или более новой поддерживаемой версии.
2. Если немедленное обновление невозможно, установите плагин безопасности JetBrains для поддерживаемых старых версий.
3. Ограничьте доступ к TeamCity доверенными сетями или VPN. Не открывайте страницу входа и API напрямую в интернет.
4. Запускайте процесс сервера TeamCity с минимальными привилегиями операционной системы, необходимыми для его работы.
5. Размещайте сервер TeamCity на выделенном хосте, отдельном от билд-агентов.
6. При подозрении на эксплуатацию сохраните доказательства и проведите расследование на сервере, проверьте хранящиеся учётные данные, артефакты сборки и нижестоящие CI/CD-системы.

⚖️ Уведомление об ответственном использовании

Этот код предоставляется для исследований в области безопасности, проверки и защитного тестирования в средах, которыми вы владеете или которые вам явно разрешено оценивать. Вы несёте ответственность за соблюдение применимых законов, договоров и правил взаимодействия. Автор и участники не несут ответственности за несанкционированное использование или причинённый в результате ущерб.

📚 Ссылки

• Бюллетень безопасности JetBrains
• Исправленные проблемы безопасности JetBrains
• Запись NVD для CVE-2026-63077
• Документация по обновлению TeamCity