CVE-2026-63077

概述 • 可视化流程 • 环境要求 • 授权实验室使用 • 已知限制 • 缓解措施

[!CAUTION] 此 PoC 会执行操作系统命令，并可能修改 TeamCity 应用程序目录。请仅在隔离实验室或针对你拥有明确书面授权的系统使用。

⚡ 概述

JetBrains 表示，已修复版本之前发布的所有 TeamCity 本地部署版本均受影响。请尽可能升级到当前受支持的版本。如果无法立即升级，请遵照供应商针对其安全补丁插件的说明进行操作。

[!NOTE] 本仓库不声称该 CVE 已列入 CISA 已知被利用漏洞目录。JetBrains 于 2026 年 7 月 27 日发布公告时表示未发现已知的主动利用。

🧬 可视化流程

从高层来看，该 PoC：

1. 注册一个临时的 TeamCity 代理会话；
2. 向代理命令端点提交一个序列化的 XML 对象图；
3. 尝试在 TeamCity Web 根目录下写入一个一次性 JSP 文件；
4. 请求该文件以执行所提供的命令；以及
5. 将成功的命令输出记录在 result.txt 中。

生成的 JSP 在被调用时会尝试删除自身。请将清理视为尽力而为，而非目标未被改动的保证。

🧰 环境要求

Python       3.9 or later
Target       Authorized TeamCity On-Premises lab instance
Transport    HTTP or HTTPS access
Shell        bash available on the TeamCity server
Packages     Python standard library only
Safety       Disposable environment or verified backup

[!IMPORTANT] 载荷通过 bash -c 调用命令。因此，Windows 版 TeamCity 服务器需要安装兼容的 Bash；否则命令执行阶段将失败。

🚀 授权实验室使用

在项目目录中运行该 PoC：

python3 exploit.py

程序会要求输入目标、命令以及所需的线程数：

[*] Target URL or file: http://127.0.0.1:8111
[*] Command: id
[*] Threads (default 10): 1

单个实验室目标

输入目标的完整基础 URL。若省略协议，脚本会自动使用 http://。

授权目标文件

对于多个实验室系统，请输入一个文本文件的路径，每行一个 URL：

http://127.0.0.1:8111
http://192.0.2.10:8111
https://teamcity.lab.example

不要在目标行中添加行内注释，因为解析器不会移除它们。先从单线程开始，只有在确认授权实验室的范围和容量之后，才增加并发数。

📄 输出

成功的结果会追加到 result.txt：

http://127.0.0.1:8111 -> uid=1000(tcuser) gid=1000(tcuser) groups=1000(tcuser)

该文件可能包含敏感的命令输出。请勿将其纳入版本控制，并在不再需要时安全删除。

⚠️ 已知限制

• 当前 HTTP 辅助模块禁用了 TLS 证书验证。请仅在可信的测试网络上使用该 PoC。
• 命令执行假设 TeamCity 服务器上存在 bash。
• Web 根目录路径被硬编码为 ../webapps/ROOT；非标准的 TeamCity 或 Servlet 容器布局可能无法正常工作。
• 尝试失败并不证明目标已修补。网络控制、反向代理、文件权限、布局差异和端点变更都可能导致相同的结果。
• 单目标后续提示目前引用了一个未定义的 args 对象。首次提交的命令可独立运行，但在代码修正之前，该提示中的其他命令将失败。

🛡️ 防御建议

flowchart LR
    A["Identify TeamCity version"] --> B{"Patched release?"}
    B -- "No" --> C["Upgrade to 2025.11.7 / 2026.1.3+"]
    B -- "Upgrade blocked" --> D["Apply JetBrains security patch plugin"]
    C --> E["Restrict access to trusted networks or VPN"]
    D --> E
    E --> F["Review logs, credentials, artifacts, and pipelines"]

1. 将 TeamCity 本地部署版升级到 2025.11.7、2026.1.3 或更新的受支持版本。
2. 如果无法立即升级，请为受支持的旧版本安装 JetBrains 安全补丁插件。
3. 将 TeamCity 的访问限制在可信网络或 VPN 内。避免将登录页面和 API 直接暴露到互联网。
4. 以所需的最低操作系统权限运行 TeamCity 服务器进程。
5. 将 TeamCity 服务器放在与构建代理分离的专用主机上。
6. 在疑似遭到利用之后，保留证据并调查服务器、存储的凭据、构建产物以及下游 CI/CD 系统。

⚖️ 负责任使用声明

此代码仅供在你拥有或明确获授权评估的环境中进行安全研究、验证和防御性测试。你有责任遵守适用的法律、合同及参与规则。作者和贡献者对未经授权的使用或由此造成的损害不承担任何责任。

📚 参考资料

• JetBrains 安全公告
• JetBrains 已修复安全问题
• CVE-2026-63077 的 NVD 条目
• TeamCity 升级文档