Auf den Punkt: Unauthentisierte Remote Code Execution in TeamCity über manipulierte HTTP-Anfragen an das Agent-Polling-Protokoll erfordert sofortige Patches oder Plugin-Installation.
JetBrains hat eine kritische Sicherheitslücke (CVE-2026-63077) in der TeamCity DevOps-Plattform bekannt gegeben, die es Angreifern ohne Authentifizierung ermöglicht, beliebige Befehle auf betroffenen Servern auszuführen. Die Schwachstelle betrifft alle TeamCity On-Premises-Installationen und wurde durch ein Deserialisierungsproblem im Agent-Polling-Protokoll verursacht.
Die Schwachstelle trägt eine CVSS-Bewertung von 9,8 und erfordert weder Authentifizierung noch Benutzerinteraktion. Ein Angreifer mit HTTP(S)-Zugriff auf einen TeamCity-Server kann das Authentifizierungs-Bypass-Verfahren nutzen und Code mit den Rechten des TeamCity-Server-Prozesses ausführen. Die Lücke ist als CWE-502 (Deserialisierung unstrukturierter Daten) klassifiziert und wird durch speziell präparierte Daten im Agent-Polling-Protokoll ausgelöst.
Für Sicherheitsverwantwortliche bedeutet eine erfolgreiche Ausnutzung erhebliche Risiken: TeamCity-Daten, Konfigurationen und gespeicherte Anmeldedaten können offengelegt werden; der Serverzustand kann manipuliert und die Integrität von Build-Artefakten sowie nachgelagerter CI/CD-Pipelines gefährdet werden. Besonders kritisch ist die Exposition von Build-Umgebungen und Software-Supply-Chains.
JetBrains hat zwei Migrationspfade empfohlen. Organisationen sollten auf TeamCity 2025.11.7 oder 2026.1.3 aktualisieren, die einen permanenten Fix enthalten. Sind sofortige Upgrades nicht möglich, steht ein Security-Patch-Plugin für TeamCity 2017.1 und neuer zur Verfügung. Versionen 2017.1 bis 2018.1 erfordern nach der Installation einen Neustart, neuere unterstützte Versionen können den Fix ohne Neustart aktivieren.
Als Übergangsmassnahmen sollten CISOs öffentlich zugängliche TeamCity-Server vom Internet isolieren und den Zugriff auf vertrauenswürdige Netzwerke beschränken. Das offizielle Sicherheitsverfahren sieht vor, TeamCity-Server auf dedizierten Hosts getrennt von Build-Agenten zu betreiben und mit minimalen Betriebssystem-Privilegien zu starten. Die Lücke wurde am 10. Juli 2024 durch Sicherheitsforscher Antoni Tremblay über das Coordinated-Disclosure-Verfahren von JetBrains gemeldet. Zum Zeitpunkt der Advisories-Veröffentlichung waren keine aktiven Angriffe dokumentiert. TeamCity Cloud-Kunden sind nicht betroffenen.
Quelle: www.csoonline.com · Erschienen 31. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.