Software-Distributionssystem TeamCity erinnert sich an gelöschte Zugangstoken
Angreifer können an sechs mittlerweile geschlossenen Sicherheitslücken in JetBrain TeamCity ansetzen.
(Bild: Alfa Photo/Shutterstock.com)
Das Software-Distributionssystem TeamCity von JetBrain ist angreifbar. In einer aktuellen Version haben die Entwickler mehrere Schwachstellen abgedichtet.
Unbefugte Zugriffe möglich
Wie aus dem Sicherheitsbereich der JetBrains-Website hervorgeht, ist eine Lücke (CVE-2024-41827) mit dem Bedrohungsgrad "hoch" eingestuft. Das Problem ist, dass Zugangstoken nach deren Ablauf und nach dem Löschen weiter funktionieren, sodass sich Angreifer Zugriff verschaffen können. Wie so ein Angriff ablaufen könnte, ist bislang unklar.
Durch das erfolgreiche Ausnutzen der verbleibenden Schwachstellen können Angreifer unter anderem für persistente XSS-Attacken im Code-Inspection-Tab und in der Show-Connection-Seite (CVE-2024-41825 "mittel", CVE-2024-41826 "niedrig") ansetzen, um so eigene Befehle auszuführen.
Die Entwickler geben an, die Sicherheitslücken in der Version 2024.07 geschlossen zu haben.
(des)
