CVE-2026-63077

Nome do Software Vulnerável e Versões Afetadas JetBrains TeamCity versões anteriores a 2026.1.3 JetBrains TeamCity versões anteriores a 2025.11.7

Descrição Um invasor remoto não autenticado pode executar comandos arbitrários do sistema operacional com os privilégios do processo TeamCity Server ao enviar solicitações HTTP especialmente formatadas. O problema decorre da desserialização insegura de dados XML processados via protocolo de consulta de agentes usando a biblioteca XStream. Especificamente, o servidor não limpa as permissões padrão do XStream, permitindo o uso de gadget chains para gravar arquivos JSP maliciosos no webroot.

Detalhes técnicos incluem:

Aproximadamente 4.500 instalações foram detectadas expostas à internet. A exploração no mundo real foi confirmada, incluindo uma violação significativa do serviço de nuvem JetBrains Cadence. Nesse incidente, invasores acessaram um backup completo do servidor de 2024, expondo dados pessoais, credenciais AWS IAM e, potencialmente, código-fonte sincronizado. A violação também afetou buckets S3 dentro das contas AWS da JetBrains.

Recomendações Atualize para a versão 2026.1.3 ou 2025.11.7. Instale o plugin de patch de segurança para versões 2017.1 e posteriores; para versões 2017.1 a 2018.1, é necessário reiniciar o servidor após a instalação. Limite o acesso de rede ao servidor a redes confiáveis e restrinja o acesso à página de login e à API REST. Execute o servidor TeamCity sob uma conta de sistema operacional com os privilégios mínimos necessários para a operação normal. Implante os servidores TeamCity em hosts dedicados, separados dos agentes de compilação. Como mitigação temporária, restrinja o acesso às rotas /app/agents/v1/* de redes externas.