JetBrainsの「TeamCity」深刻な脆弱性 - 詳細も公開、早急に対処を
JetBrainsのソフトウェア開発支援ツール「TeamCity」に深刻な脆弱性が明らかになった。リモートよりサーバの管理権限を奪われるおそれがあり、同社は早急に対策を講じるよう呼びかけている。
「同2023.11.3」および以前のバージョンに認証をバイパスされる脆弱性「CVE-2024-27198」や、パストラバーサルの脆弱性「CVE-2024-27199」が明らかとなったもの。脆弱性を悪用されるとリモートよりサーバの認証を回避して管理権限を奪われるおそれがある。
2024年2月にRapid7が発見したもので、外部へ非公開のもと報告された。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2024-27198」が「9.8」、「CVE-2024-27199」が「7.3」となっており、それぞれ重要度は「クリティカル(Critical)」「高(High)」とレーティングされている。
同社は現地時間3月4日にリリースした「同2023.11.4」で、これら脆弱性を含め4件のセキュリティに関する修正を実施した。同バージョンへアップデートできない環境向けにパッチプラグインも用意しており、早急に対策を講じるよう利用者に呼びかけている。
同社が提供するクラウド版についてはすでにパッチを適用しており、攻撃などは確認されていないという。脆弱性を報告したRapid7では、パッチのリリースなどを受け、脆弱性の詳細について公開した。
なお「TeamCity」に関しては、これら脆弱性以外にも「クリティカル(Critical)」とされる脆弱性「CVE-2024-23917」なども判明しており、JetBrainsでは「同2023.11.3」にて修正したことを明らかにしている。
(Security NEXT - 2024/03/05 )
ツイート
関連リンク
PR
関連記事
施設指定管理者がバスツアー当選メールをCC送信 - 寒川町
サーバから個人情報流出、不審メールに注意喚起 - 日本ユースホステル協会
決裁文書など書類4件が庁内で所在不明に、盗難か - 四条畷市
「IBM AIX」に複数のRCE脆弱性が判明 - パッチや暫定修正プログラムを公開
新規アプリ登録者のメアド流出、システム設定ミスで - マクドナルド
エンプラサーバなどに採用されるAMI製「BMC」にRCE脆弱性
フィッシングURLが約48%減 - 約1年ぶりの2万件台
「PHP」に複数脆弱性 - セキュリティアップデートがリリース
「北海道じゃらん」に攻撃、個人情報流出か - フィッシング攻撃も
米政府、バックアップソフトやIPカメラの脆弱性悪用に注意喚起