Desarrollo de software: los atacantes pueden robar el código fuente a través de la vulnerabilidad TeamCity

Los investigadores de seguridad de SONAR están en camino a…Muy importante” Se ha descubierto una vulnerabilidad en el sistema de distribución de software TeamCity (local). Después de ataques exitosos, los atacantes pueden espiar proyectos de software en servidores y copiar el código fuente.

anuncio

Los desarrolladores de software utilizan el servidor TeamCity basado en Java durante el desarrollo para proporcionar múltiples compilaciones para diferentes sistemas operativos.

Vulnerabilidad de seguridad crítica

Como se indica en un mensaje de advertencia., la vulnerabilidad (CVE-2023-42793) podría ser un exploit para los atacantes. Los ataques deben ser posibles de forma remota y sin autenticación. Sin embargo, los atacantes deben tener acceso al servidor TeamCity para poder ejecutar código malicioso en los sistemas a través de solicitudes HTTP(S) diseñadas. Actualmente se desconoce en detalle cómo pudo haber ocurrido el ataque. Los investigadores de seguridad proporcionan más información en un artículo.

Los desarrolladores dicen que el problema de seguridad radica en Versión 2023.05.4 Para ser resuelto. Se dice que todas las versiones anteriores están amenazadas. Según ellos, la versión en la nube no es vulnerable. Hasta el momento no hay información sobre los ataques. Los funcionarios todavía tienen que actualizar el software rápidamente. Para aquellos que no pueden instalar la versión segura directamente, hay dos componentes de parche de seguridad adicionales Equipo Ciudad 2018.2 Y Equipo Ciudad 8.0.

Protección de servidores de desarrollo.

Si los servidores TeamCity no se pueden depurar ni se puede acceder a ellos en línea, los administradores deben desconectar el servidor por el momento. Para reducir la superficie de ataque, este enfoque debe aplicarse de forma general. Dado que algunos sistemas deben ser accesibles desde el exterior, los administradores deben proteger el acceso mediante SSH y contraseñas seguras, por ejemplo.

(a)