Alerte TeamCity : une exécution de code à distance sans authentification menace les pipelines CI/CD

Introduction

Le 28 juillet 2026, JetBrains a divulgué et corrigé une vulnérabilité critique (CVE-2026-63077) affectant TeamCity On-Premises, le serveur d’intégration continue et de livraison continue le plus répandu. Dotée d’un score CVSS de 9.8, cette faille permet à un attaquant distant dépourvu d’identifiants d’exécuter des commandes arbitraires sur le système hôte, simplement en accédant à la console d’administration via HTTP(S). Au moment de la publication, aucun exploit actif n’a été observé, mais la gravité de l’impact exige une action immédiate des équipes DevOps et de sécurité.

Analyse technique

La vulnérabilité se situe dans le mécanisme de polling que les agents de build utilisent pour communiquer avec le serveur TeamCity. L’endpoint concerné, exposé par défaut sur la même interface web que la console, ne requiert aucune authentification pour traiter certaines requêtes. Un attaquant peut envoyer une charge utile malveillante spécialement conçue, en exploitant une validation insuffisante des données entrantes, pour obtenir l’exécution de commandes au niveau du système d’exploitation avec les privilèges du processus TeamCity.

Bien que JetBrains n’ait pas dévoilé l’intégralité des détails techniques afin d’empêcher la création d’exploits fonctionnels, le schéma rappelle les classiques vulnérabilités de désérialisation non sécurisée ou d’injection de commandes dans les protocoles internes. Le vecteur d’attaque étant accessible sans aucune authentification (sur HTTP ou HTTPS), la barrière pour un attaquant est extrêmement basse : une simple connectivité réseau vers le port de la console (généralement 8111 ou 443) suffit à compromettre l’ensemble du serveur.

Impact

Une exploitation réussie confère à un acteur malveillant le contrôle total du serveur TeamCity et du système d’exploitation sous-jacent. Les conséquences peuvent inclure :

• Accès complet aux dépôts de code source, aux fichiers de configuration, aux informations d’identification stockées (jetons, clés API, mots de passe) et aux secrets d’entreprise.
• Altération des pipelines CI/CD, avec la possibilité d’injecter du code malveillant directement dans les artefacts de build et les processus de déploiement.
• Mouvement latéral vers d’autres systèmes connectés, comme les environnements de préproduction et de production, les registres de conteneurs ou les serveurs d’automatisation.
• Vol de propriété intellectuelle et atteinte à l’intégrité des logiciels livrés aux clients.

TeamCity étant souvent placé dans des segments réseau à privilèges élevés, une compromission peut déclencher un effet domino sur toute l’infrastructure DevOps.

Mesures d’atténuation

JetBrains a mis à disposition deux chemins de correction :

1. Mise à jour immédiate
   Installer les versions 2025.11.7 ou 2026.1.3 de TeamCity, qui corrigent la vulnérabilité en amont. Il s’agit de la voie recommandée pour une protection complète.

2. Plugin de sécurité pour les environnements existants
   Pour ceux qui ne peuvent pas effectuer la mise à niveau immédiatement (par exemple en raison de dépendances ou de fenêtres de maintenance), un plugin de correctif a été publié, compatible avec toutes les versions à partir de la 2017.1. Ce plugin corrige exclusivement la CVE-2026-63077 sans introduire d’autres modifications.

3. Contre-mesures réseau et de configuration

   • Restreindre l’accès à la console TeamCity aux seuls réseaux de confiance, via un pare-feu, un VPN ou un proxy inverse avec authentification supplémentaire.
   • Isoler le serveur TeamCity des agents de build et des autres composants, en appliquant une segmentation réseau.
   • Exécuter le processus avec un compte à privilèges minimaux, sur des hôtes dédiés et sans accès administratif inutile.

Ces mesures réduisent la surface d’attaque mais ne remplacent pas l’application du correctif.

FAQ

1. Quelles versions de TeamCity sont vulnérables ?

Toutes les versions de TeamCity On-Premises antérieures aux éditions 2025.11.7 et 2026.1.3 sont concernées. Les instances Cloud ont déjà été mises à jour par JetBrains.

2. La vulnérabilité nécessite-t-elle des identifiants pour être exploitée ?

Non. Il s’agit d’une faille de pré-authentification : un attaquant peut agir à distance via le port HTTP(S) de la console sans posséder le moindre identifiant valide. Cela la rend particulièrement dangereuse pour les serveurs exposés sur Internet.

3. Puis-je me protéger sans installer immédiatement la mise à jour ?

Oui, JetBrains fournit un plugin de correctif de sécurité pour TeamCity 2017.1 et versions ultérieures. Cependant, la solution définitive demeure la mise à niveau vers les versions corrigées. En attendant, il est impératif d’appliquer des restrictions réseau et le principe du moindre privilège.