TeamCity のパストラバーサルで認証なしに一部管理操作（悪用確認済み）

High（CVSS 7.3）に分類されるJetBrains TeamCity On-Premisesの脆弱性です。CI/CD サーバ JetBrains TeamCity の 2023.11.4 より前の版にパストラバーサルがあり、限定的な管理操作を認証なしに実行できた。JetBrains の記述は一行だが、要点は認証をすり抜けて一部の管理エンドポイントに到達できるところにある。CI/CD サーバは資格情報とデプロイ経路の集約点なので、限定的な管理操作であっても、そこから設定の書き換えやライセンス情報の取得などに繋がると被害が広がる。影響範囲は CPE で 2023.11.4 未満とされ、修正版は 2023.11.4。対象は自己管理の On-Premises 版である。CVSS は NVD（Primary）と CNA の JetBrains がいずれも 7.3 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L）で一致しており、評価元による食い違いは無い。影響が Low 三つに留まるのは、実行できる管理操作が限定的だという評価による。CISA KEV には 2026-04-20 に収載され、是正期限は 2026-05-04、そしてランサムウェア利用が Known、つまりランサムウェアのキャンペーンで使われたことが確認されている。CWE 分類は NVD が CWE-22、JetBrains が CWE-23。NVD の vulnStatus は Analyzed。参照には TeamCity の大規模な悪用と不正アカウントの作成を報じた記事が含まれており、同時期に公表された CVE-2024-27198 と合わせて攻撃に使われた経緯が示されている。

判定は TeamCity On-Premises の版の確認である。管理画面のフッターまたは Administration の画面で版を確認し、2023.11.4 より前なら該当する。JetBrains のクラウド版（TeamCity Cloud）は運営側が更新するため利用者の作業は発生しない。見落としやすいのは、移行後に参照用として残した旧サーバ、部門が個別に立てたビルドサーバ、そして外部の請負先が運用していた TeamCity である。この CVE は未認証で到達できるため、インターネットに露出している自己管理サーバが最優先になる。まず外側からポートスキャンや資産管理の情報で、公開されている TeamCity が無いかを確認する。すぐに更新できない場合の緩和策は経路を閉じることに絞られる。設定側で認証を強める形の回避はできないので、リバースプロキシや WAF、セキュリティグループで到達元を社内と VPN に限定し、必要ならインスタンスを一時停止する。完了条件は、（1）全 TeamCity サーバが 2023.11.4 以降になっていること、（2）インターネットから直接到達できる TeamCity が無いことを外側から確認できていること、の2点である。ただしこの CVE はランサムウェアのキャンペーンでの利用が確認されており、KEV 是正期限 2026-05-04 も既に過ぎているため、更新だけで終わらせてはいけない。露出していた期間があるなら侵害を前提に確認する。具体的には、意図しない管理者アカウントが作成されていないか（報道でも不正アカウントの作成が指摘されている）、ビルド設定やビルドステップに見慣れないコマンドが追加されていないか、エージェント側に不審なプロセスやスケジュールタスクが無いかを見る。そして TeamCity が保持していた資格情報（クラウドのアクセスキー、コンテナレジストリの認証情報、署名鍵、デプロイ先の SSH 鍵、VCS のトークン）はすべて漏洩したものとして再発行し、直近のビルド成果物が改ざんされていないかも確認する。

JetBrains TeamCity On-Premises を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2024-27199）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/04 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。