Rapid7が「TeamCity」脆弱性の詳細を公開 - 報告側と修正側で意識に差

脆弱性の修正版となる「TeamCity 2023.11.4」が2024年3月4日に公開されたが、協調的な対応を進めていたRapid7に連絡はなく、公開にあたって具体的な修正内容を説明したセキュリティアドバイザリも公開されなかったと説明。

Rapid7が対応に懸念を示したところ、JetBrainsでは脆弱性に言及するブログを公開。脆弱性の内容を明らかにした。

JetBrainsは、ブログにおいて同社ポリシーでは脆弱性の影響を抑えるため、アップデートのリリースから脆弱性の技術的な詳細の公開までに期間を置いていると主張。

「CVE-2024-27198」「CVE-2024-27199」に関しては、報告者のRapid7が自身のポリシーに従い、パッチの公開より24時間以内に技術的な詳細が公開されることを強調し、早急に対策を応じる必要があると利用者に説明した。

アップデートやパッチの適用などをすぐに実施できない場合は、対策を講じるまでサーバに対するアクセスを遮断するように求めている。

Rapid7では、アップデートのリリースを受けて同社ポリシーに従い、3月4日に情報を公開。それぞれの脆弱性の分析結果を示し、侵害の具体的な流れを示すとともに、「IoC（Indicators of Compromise）」情報の確認方法などを解説している。

（Security NEXT - 2024/03/05 ）ツイート