JetBrains「TeamCity」にAPI露出の脆弱性 - ゲストも悪用可能

JetBrainsは、同社CI/CDサーバ「TeamCity」に関するあらたな脆弱性を明らかにした。セキュリティアップデートやパッチプラグインを提供するとともに早急な対応を呼びかけている。

「TeamCity」のオンプレミス版に権限昇格の脆弱性「CVE-2026-44413」が確認されたもの。2026年4月30日に非公開のもと外部より報告を受けたという。

「HTTP」「HTTPS」以外のポートへ接続を許可している環境や、ビルドエージェントがサーバと同一ホストで稼働している環境などが影響を受ける。

悪用にあたって「TeamCity」の認証が必要となるが、サーバの一部APIを権限を持たない第三者に対して公開することが可能となる。ゲストアクセスを有効にしている場合は、ゲストアカウントによる悪用も可能としている。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.2」、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングされている。

（Security NEXT - 2026/05/12 ）ツイート