team capacity(city team)

JetBrains 修复了两个影响 TeamCity On-Premises 的严重安全漏洞(CVE-2024-27198、CVE-2024-27199),并敦促客户立即修补它们。

“Rapid7 最初发现并向我们报告了这些漏洞,并选择严格遵守自己的漏洞披露政策。这意味着他们的团队将在收到通知后 24 小时内发布这些漏洞的完整技术细节及其复制步骤。”该公司今天表示。

这也意味着概念验证和充分利用可能会迅速浮出水面并得到利用。

关于漏洞(CVE-2024-27198、CVE-2024-27199)
JetBrains 的 TeamCity 是一款持续集成和持续交付 (CI/CD) 服务器,其中的漏洞最近被俄罗斯和朝鲜国家支持的攻击者利用。

CVE-2024-27198 可能允许未经身份验证的远程攻击者危害易受攻击的 TeamCity 服务器,并通过创建新的管理员用户或生成新的管理员访问令牌来控制与服务器关联的所有项目、构建、代理和工件。这使得该漏洞成为发起供应链攻击的理想选择。

第二个漏洞 CVE-2024-27199 允许有限数量的信息泄露和有限数量的系统修改,包括未经身份验证的攻击者能够使用攻击者的证书替换易受攻击的 TeamCity 服务器中的 HTTPS 证书。攻击者可以通过将 HTTPS 端口号更改为客户端不期望的值,或者上传无法通过客户端验证的证书,对 TeamCity 服务器执行拒绝服务。或者,如果攻击者上传的证书(并拥有私钥)受到信任,则在网络上拥有适当位置的攻击者可能能够对客户端连接执行窃听或中间人攻击。

它们影响 2023.11.3 之前的所有 TeamCity On-Premises 版本,已在版本 2023.11.4 中修复。

更新、修补或让服务器脱离互联网
如果无法将服务器升级到 v2023,建议升级到固定版本(手动或使用解决方案中的自动更新选项)或应用安全补丁插件(与所有 TeamCity 版本兼容)。

“JetBrains 的政策通常涉及在发布后较长一段时间内隐藏漏洞的技术细节,以确保彻底缓解;然而,这种加速的时间表需要立即升级服务器或打补丁以防止利用,”该公司补充道。“如果您的服务器可通过互联网公开访问,并且您无法立即执行下述缓解步骤之一,我们强烈建议您在缓解操作完成之前将您的服务器设置为不可访问。”

原创文章,作者:小技术君,如若转载,请注明出处:https://www.sudun.com/ask/34063.html

(0)
小技术君's avatar小技术君
上一篇 2024年4月6日 下午7:53
下一篇 2024年4月6日 下午7:55

相关推荐

  • cr2文件怎么打开?

    你是否曾经遇到过打开CR2文件的困扰?或许你对于CR2文件还不太了解,但它却是网络行业中必不可少的一部分。那么什么是CR2文件?它又有什么特点和用途呢?如果你想要知道如何打开CR2…

    问答 2024年3月25日
    0
  • 2024年,人类是否会面临灭亡的威胁?

    2024年,一个令人心悸的数字,它让我们不禁开始思考,人类的未来会是怎样的?在这个充满变数和挑战的时代,我们是否面临着灭亡的威胁?环境、科技、政治、经济,这些因素都将对人类生存产生…

    问答 2024年4月3日
    0
  • 如何使用visual studio 2017进行编程?

    你是否想过如何使用visual studio 2017进行编程?或许你已经听说过这个名字,但它究竟是什么?它又有哪些功能和优势?如果你想要知道答案,那么就继续往下读吧。在本文中,我…

    问答 2024年4月8日
    0
  • 如何吸引更多的subscribers(订阅者)?

    如何吸引更多的subscribers(订阅者)?这是一个备受关注的话题,因为在当今网络行业中,拥有大量的订阅者是非常重要的。那么,什么是subscribers(订阅者)?为什么需要…

    问答 2024年3月30日
    0

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注