JetBrains - CVE-2026-63077
Date de publication :
Il s’agit d’une vulnérabilité dans le protocole de polling des agents de TeamCity On-Premises.
TeamCity est un serveur d’intégration et de livraison continues (CI/CD) édité par JetBrains. Il automatise la compilation, les tests et le déploiement des logiciels. Les agents de build communiquent avec le serveur central par un protocole d’interrogation (polling). Il existe en version hébergée (Cloud) et en version installée sur site (On-Premises).
Le serveur désérialise des données non fiables reçues d’un agent, sans authentification préalable. La liste d’autorisation des classes Java (XStream) est trop permissive. Elle peut être contournée avec un graphe d’objets Java forgé. Un attaquant qui atteint le serveur en HTTP(S) n’a besoin ni d’identifiants ni d’interaction d’un utilisateur. Les contrôles d’authentification sont ainsi contournés. Le correctif ajoute NoTypePermission.NONE avant la liste d’autorisation, ce qui la rend exclusive.
Elle permet à un attaquant distant non authentifié d’exécuter des commandes arbitraires sur le serveur avec les privilèges du processus TeamCity.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Oui
Exécution de code arbitraire (à distance)
Exploitation
CWE-502 : Deserialization of Untrusted Data
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
TeamCity On-Premises versions antérieures à 2025.11.7
- TeamCity On-Premises versions 2026.1 jusqu’à 2026.1.2
- TeamCity On-Premises branches antérieures à 2025.11
Contournement provisoire
• Limitation de l’accès réseau aux serveurs TeamCity aux réseaux de confiance, recommandée par JetBrains
• Exécution du serveur avec les privilèges système minimaux nécessaires, recommandée par JetBrains
Solutions ou recommandations
• TeamCity branche 2026.1 versions 2026.1.3 et supérieures