JetBrains TeamCity の脆弱性 CVE-2024-41827 が FIX：不正アクセスの恐れ

CVE-2024-41827: Expired Tokens Still Active in JetBrains TeamCity, Urgent Update Required

2024/07/24 SecurityOnline — 有名な CI/CD プラットフォームの JetBrains TeamCity に、深刻な脆弱性 CVE-2024-41827 (CVSS : 7.4)の存在が判明した。この脆弱性により、削除済み／期限切れのアクセス・トークンが機能し続け、重要な開発環境への長時間かつ不正なアクセスを、攻撃者に許す可能性が生じる。

この脆弱性は、TeamCity におけるトークン管理システムの欠陥に起因する。それにより、アクセス・トークンが削除された後であっても、有効期限が切れた後であっても、それらが有効性を維持してしまう可能性が生じる。その結果として攻撃者は、機密プロジェクト／ソースコード／ビルド構成／バージョン管理システムなどへのアクセスを、維持し続けることが可能になる。つまり、知的財産の機密性が損なわれるだけではなく、ビルド・プロセスの改ざんや、コード・インジェクションも、発生し得ることになる。

この脆弱性により、深刻な脅威がソフトウェア・サプライチェーンにもたらされる。この脆弱性の悪用に成功した攻撃者は、悪意のコードをソフトウェア・ビルドに組み込む可能性を手にし、無防備なユーザーに対して、それらが配布される可能性が生じる。その結果とて、データ漏洩からサービスの中断にいたるまでの、壊滅的な被害がもたらされる恐れがある。

すでに JetBrains は、TeamCity のバージョン 2024.07 で、この脆弱性 CVE-2024-41827 に対処している。TeamCity を使用している、すべての組織に対して強く推奨されるのは、悪用リスクを軽減するための迅速なシステムのアップデートである。それに加えて、以下の実施が推奨される：

• 既存アクセス・トークンの失効と再発行：この手順により、危険にさらされた可能性のあるトークンを確実に無効化する。
• アクセスログの確認： 不正アクセスの試行や、ビルド・コンフィグの変更などの、不審な活動の有無を確認する。
• 追加のセキュリティ対策の実施： TeamCity ユーザに多要素認証 (MFA) を使用し、アクセス・トークン管理における堅牢なセキュリティ・ポリシーの実装を検討する。

JetBrains TeamCity の脆弱性ですが、削除したはずのトークンや、期限切れのはずのトークンが、有効性を維持するかもしれないという、怖い脆弱性です。ご利用のチームは、十分に ご注意ください。アドバイザリを見ると、この CVE-2024-41827 の他に５件ほど出ていますが、そのうちの２件は Medium で、３件は Low でした。よろしければ、TeamCity で検索も、ご利用ください。