Người dùng TeamCity On-Premises cho quy trình tích hợp và phân phối liên tục (CI/CD) được khuyến cáo nhanh chóng cập nhật bản vá, bởi hai lỗ hổng nghiêm trọng vừa được phát hiện, cho phép kẻ tấn công chiếm quyền điều khiển máy chủ TeamCity mà không cần mật khẩu.

Lỗ hổng đầu tiên có mã theo dõi CVE-2024-27198 (điểm CVSS 9,8) là vấn đề bỏ qua xác thực, cho phép kẻ tấn công thực hiện các hành động của quản trị viên.

Lỗ hổng thứ hai có mã theo dõi CVE-2024-27199 (điểm 7,3) là vấn đề truyền tải đường dẫn, cho phép kẻ tấn công thực hiện một số hành động quản trị hạn chế như thay đổi cách xây dựng và triển khai phần mềm, lấy dữ liệu nhạy cảm như mã nguồn và chi tiết dự án, chèn mã độc…

Tất cả các phiên bản TeamCity On-Premises đều bị ảnh hưởng bởi các lỗ hổng nói trên. Người dùng chạy server TeamCity cần nhanh chóng cập nhật bản vá.

Nguồn: Security Online