JetBrains เตือนช่องโหว่ระดับวิกฤติใน TeamCity ที่อาจทำให้รันคำสั่งระยะไกล.

JetBrains ได้ออกคำเตือนเกี่ยวกับช่องโหว่ความปลอดภัยระดับวิกฤติในแพลตฟอร์ม DevOps TeamCity ที่อาจทำให้ผู้ไม่ประสงค์ดีที่มีการเข้าถึง HTTP(S) สามารถข้ามขั้นตอนการตรวจสอบสิทธิและเรียกใช้คำสั่งระบบปฏิบัติการบนเซิร์ฟเวอร์ได้โดยไม่ได้รับอนุญาต – เหตุการณ์นี้ส่งผลต่อการทำงานของระบบ CI/CD ที่ใช้ TeamCity เป็นศูนย์กลางอย่างกว้างขวาง

Overview

ทีมพัฒนา JetBrains ระบุว่าช่องโหว่ได้รับการจัดอันดับ CVSS 9.8/10 และได้บันทึกเป็น CVE‑2026‑63077 ซึ่งครอบคลุมทุกการติดตั้ง TeamCity แบบ On‑Premises ทั้งหมด ผู้ใช้บริการ TeamCity Cloud ไม่ต้องดำเนินการใด ๆ เนื่องจากระบบคลาวด์ได้รับการอัปเดตโดยผู้ให้บริการอยู่แล้ว

ตามข้อมูลที่เผยแพร่ในคำประกาศความปลอดภัย ช่องโหว่นี้ทำงานผ่าน “agent polling protocol” ของ TeamCity ซึ่งเป็นกระบวนการสื่อสารระหว่างเซิร์ฟเวอร์กับเอเยนต์ การส่ง HTTP request ที่ปรับแต่งมาโดยเฉพาะสามารถทำให้เซิร์ฟเวอร์รับข้อมูลที่ไม่ได้ตรวจสอบและดำเนินการเป็นโค้ดได้ทันที

Technical Details

ช่องโหว่จัดอยู่ในหมวด CWE‑502 (Deserialization of unstructured data) โดยผู้โจมตีส่งข้อมูลที่ผ่านการจัดรูปแบบอย่างไม่ปลอดภัยเข้าสู่ขั้นตอน polling ทำให้เซิร์ฟเวอร์ทำการ “deserialize” ข้อมูลโดยไม่มีการตรวจสอบความถูกต้อง ส่งผลให้เกิด Remote Code Execution (RCE) ได้โดยตรง

การโจมตีนี้ไม่ต้องอาศัยข้อมูลรับรองหรือการโต้ตอบจากผู้ใช้ใด ๆ จึงทำให้เซิร์ฟเวอร์ที่เปิดเผยต่ออินเทอร์เน็ตเป็นเป้าหมายที่น่าสนใจมากที่สุด ความรุนแรงของช่องโหว่นี้เพิ่มความเสี่ยงต่อการเข้าถึง environment การสร้าง, คำสั่งเก็บข้อมูลลับ และซัพพลายเชนซอฟต์แวร์

Impact & Risks

หากผู้โจมตีประสบความสำเร็จ สามารถทำให้ข้อมูลคอนฟิกูเรชันของ TeamCity ถูกเปิดเผยหรือแก้ไข รวมถึง credentials ที่เก็บไว้ในระบบ, สถานะเซิร์ฟเวอร์, และไฟล์ผลลัพธ์การ build ที่อาจถูกดัดแปลงได้ ทั้งนี้อาจส่งผลกระทบต่อโครงการพัฒนาที่ใช้ pipeline ต่อเนื่องและทำให้ความเชื่อมั่นของซอฟต์แวร์ที่เผยแพร่ต่อผู้ใช้งานภายนอกเสียหาย

แม้ JetBrains จะระบุว่า ยังไม่มีหลักฐานการโจมตีที่กำลังดำเนินอยู่ ณ เวลาที่ประกาศคำเตือน แต่ประวัติการที่ผู้ก่ออาชญากรรมไซเบอร์เคยใช้ช่องโหว่ของ TeamCity อย่างรวดเร็วในอดีต ทำให้หลายองค์กรต้องเร่งรัดการปิดช่องนี้โดยทันที

Mitigation & Recommendations

JetBrains แนะนำวิธีแก้ไขสองทางหลักสำหรับลูกค้าที่ใช้งาน On‑Premises:

• อัปเกรดเป็นรุ่น 2025.11.7 หรือ 2026.1.3 ซึ่งรวมการแก้ไขถาวรให้กับช่องโหว่
• หากไม่สามารถอัปเกรดได้ทันที ให้ติดตั้ง security patch plugin (รองรับตั้งแต่เวอร์ชัน 2017.1 ขึ้นไป)

• เวอร์ชัน 2017.1‑2018.1 ต้องทำการรีสตาร์ทเซิร์ฟเวอร์หลังจากติดตั้งปลั๊กอิน
• เวอร์ชันที่ใหม่กว่า สามารถเปิดใช้งานการแก้ไขได้โดยไม่ต้องรีสตาร์ท

นอกจากนี้ JetBrains ยังให้ข้อแนะนำเพิ่มเติมแก่ผู้ดูแลระบบ: จำกัดการเข้าถึงเครือข่ายของเซิร์ฟเวอร์ TeamCity ให้เป็น trusted networks เท่านั้น, ปรับระดับสิทธิ์ของระบบปฏิบัติการให้อยู่ในระดับต่ำสุดที่ทำงานได้, และวาง Server บนโฮสต์แยกจากเอเยนต์เพื่อจำกัดการกระจายผลของการโจมตี

Response Timeline

ช่องโหว่นี้ถูกรายงานเป็นส่วนตัวเมื่อ 10 กรกฎาคม โดยนักวิจัยความปลอดภัย Antoni Tremblay ผ่านกระบวนการเปิดเผยแบบประสานงานของ JetBrains หลังจากรับข้อมูล บริษัทได้ทำการวิเคราะห์และตรวจสอบว่าไม่มีการใช้ช่องโหว่นี้ในเชิงรุก ณ ขณะนั้น

ต่อมาทีมวิศวกรรมของ JetBrains ได้ปล่อยอัปเดตแก้ไขและปลั๊กอินแพทช์ภายในช่วงเวลาที่สั้นที่สุดเพื่อให้ลูกค้าสามารถดำเนินการได้เร็วที่สุด บริษัทยังย้ำว่า ผู้ใช้ TeamCity Cloud ไม่จำเป็นต้องทำอะไรเพิ่มเติม เนื่องจากระบบคลาวด์ได้รับการอัปเดตโดยอัตโนมัติ

Summary

ช่องโหว่ CVE‑2026‑63077 ของ TeamCity ทำให้ผู้ไม่ประสงค์ดีสามารถรันคำสั่งบนเซิร์ฟเวอร์ได้โดยไม่มีการยืนยันตัวตน ส่งผลต่อความปลอดภัยของ CI/CD pipeline อย่างกว้างขวาง JetBrains แนะนำให้อัปเกรดเป็นรุ่นใหม่หรือติดตั้งปลั๊กอินแพทช์ทันที และให้ผู้ดูแลระบบจำกัดการเข้าถึงเครือข่ายเพื่อลดความเสี่ยง.