TeamCity-Alarm: Remote Code Execution ohne Anmeldedaten gefährdet CI/CD-Pipelines

Einführung

Am 28. Juli 2026 hat JetBrains eine kritische Schwachstelle (CVE-2026-63077) offengelegt und behoben, die TeamCity On-Premises betrifft, den beliebten Server für Continuous Integration und Delivery. Mit einem CVSS-Wert von 9,8 ermöglicht die Sicherheitslücke einem entfernten Angreifer ohne Anmeldedaten, beliebige Befehle auf dem Hostsystem auszuführen, indem er einfach über HTTP(S) auf die Administrationskonsole zugreift. Zum Zeitpunkt der Veröffentlichung wurden noch keine aktiven Exploits im Netz beobachtet, die Schwere der Auswirkungen erfordert jedoch ein sofortiges Handeln der DevOps- und Sicherheitsteams.

Technische Analyse

Die Schwachstelle liegt im Polling-Mechanismus, den die Build-Agenten verwenden, um mit dem TeamCity-Server zu kommunizieren. Der betroffene Endpunkt, der standardmäßig auf derselben Webschnittstelle wie die Konsole bereitgestellt wird, erfordert keine Authentifizierung, um bestimmte Anfragen zu verarbeiten. Ein Angreifer kann eine speziell gestaltete bösartige Nutzlast senden und dabei eine unzureichende Validierung der Eingabedaten ausnutzen, um die Ausführung von Befehlen auf Betriebssystemebene mit den Berechtigungen des TeamCity-Prozesses zu erreichen.

Obwohl JetBrains keine vollständigen technischen Details veröffentlicht hat, um die Entwicklung funktionierender Exploits zu vermeiden, erinnert das Muster an klassische Schwachstellen durch unsichere Deserialisierung oder Befehlsinjektion in internen Protokollen. Da der Angriffsvektor ohne jegliche Authentifizierung (über HTTP oder HTTPS) zugänglich ist, ist die Hürde für einen Angreifer äußerst gering: Die bloße Netzwerkkonnektivität zum Konsolen-Port (typischerweise 8111 oder 443) reicht aus, um den gesamten Server zu kompromittieren.

Auswirkungen

Eine erfolgreiche Ausnutzung gewährt einem böswilligen Akteur die vollständige Kontrolle über den TeamCity-Server und das zugrunde liegende Betriebssystem. Die Folgen können umfassen:

• Vollständigen Zugriff auf Quellcode-Repositories, Konfigurationsdateien, gespeicherte Anmeldeinformationen (Token, API-Schlüssel, Passwörter) und Unternehmensgeheimnisse.
• Manipulation der CI/CD-Pipelines mit der Möglichkeit, bösartigen Code direkt in Build-Artefakte und Deployment-Prozesse einzuschleusen.
• Laterale Bewegung zu anderen verbundenen Systemen, wie Staging- und Produktionsumgebungen, Container-Registries oder Automatisierungsservern.
• Diebstahl geistigen Eigentums und Beeinträchtigung der Integrität der an Kunden ausgelieferten Software.

Da TeamCity häufig in Netzwerksegmenten mit hohen Berechtigungen platziert wird, kann eine Kompromittierung einen Dominoeffekt auf die gesamte DevOps-Infrastruktur auslösen.

Abhilfe

JetBrains hat zwei Korrekturpfade bereitgestellt:

1. Sofortiges Update
   Installieren Sie die TeamCity-Versionen 2025.11.7 oder 2026.1.3, die die Schwachstelle grundlegend beheben. Dies ist der empfohlene Weg für den umfassendsten Schutz.

2. Sicherheits-Plugin für Legacy-Umgebungen
   Für diejenigen, die nicht sofort ein Upgrade durchführen können (z. B. aufgrund von Abhängigkeiten oder Wartungsfenstern), wurde ein Patch-Plugin veröffentlicht, das mit allen Versionen ab 2017.1 kompatibel ist. Das Plugin repariert ausschließlich CVE-2026-63077, ohne weitere Änderungen einzuführen.

3. Netzwerk- und Konfigurationsgegenmaßnahmen

   • Beschränken Sie den Zugriff auf die TeamCity-Konsole auf vertrauenswürdige Netzwerke, z. B. durch Firewalls, VPNs oder Reverse-Proxys mit zusätzlicher Authentifizierung.
   • Isolieren Sie den TeamCity-Server von den Build-Agenten und anderen Komponenten durch Netzwerksegmentierung.
   • Führen Sie den Prozess mit einem Konto mit minimalen Berechtigungen aus, auf dedizierten Hosts und ohne unnötige administrative Zugriffe.

Diese Maßnahmen reduzieren die Angriffsfläche, ersetzen jedoch nicht die Installation des Patches.

FAQ

1. Welche Versionen von TeamCity sind betroffen?

Alle TeamCity On-Premises-Versionen vor den Releases 2025.11.7 und 2026.1.3 sind verwundbar. Cloud-Instanzen wurden bereits von JetBrains aktualisiert.

2. Erfordert die Schwachstelle Anmeldeinformationen, um ausgenutzt zu werden?

Nein. Es handelt sich um eine Pre-Auth-Schwachstelle: Ein Angreifer kann aus der Ferne über den HTTP(S)-Port der Konsole agieren, ohne gültige Anmeldedaten zu besitzen. Dies macht sie besonders gefährlich für Server, die dem Internet ausgesetzt sind.

3. Kann ich mich schützen, ohne das Update sofort zu installieren?

Ja, JetBrains stellt ein Security-Patch-Plugin für TeamCity 2017.1 und höher bereit. Die endgültige Lösung bleibt jedoch das Upgrade auf die korrigierten Versionen. In der Zwischenzeit ist es unerlässlich, Netzwerkeinschränkungen und das Prinzip der minimalen Berechtigung anzuwenden.