Fidye yazılımı çeteleri artık JetBrains'in TeamCity sürekli entegrasyon ve dağıtım sunucusunda yakın zamanda yamalı bir kritik güvenlik açığını hedefliyor.
Kusur (CVE-2023-42793 olarak izlenen ve 9.8/10 şiddet puanı ile etiketlenir), kimlik doğrulanmamış saldırganların kullanıcı etkileşimi gerektirmeyen bir kimlik doğrulama bypass zayıflığının başarıyla yararlandıktan sonra uzaktan kod yürütme (RCE) kazanmasına izin verir. .
İsviçre güvenlik firması Sonar (araştırmacıları güvenlik açığını keşfetti ve bildirdi), Jetbrains'in 21 Eylül'de TeamCity 2023.05.4'ün piyasaya sürülmesiyle kritik güvenlik sorununu ele aldıktan bir hafta sonra tam teknik detaylar yayınladı.
JetBrains, kusurun yamalı sürümden önce tüm TeamCity sürümlerini etkilediğini, ancak yalnızca Windows, Linux ve macOS'a yüklü veya Docker'da çalışan şirket içi sunucuları etkilediğini söylüyor.
Sonar güvenlik açığı araştırmacısı Stefan Schiller, "Bu, saldırganların sadece kaynak kodu çalmasını değil, aynı zamanda hizmet sırlarını ve özel anahtarları da saklamalarını sağlıyor."
"Ve daha da kötüsü: Yapım sürecine erişim ile saldırganlar kötü niyetli kodlar enjekte edebilir, yazılım bültenlerinin bütünlüğünü tehlikeye atabilir ve tüm aşağı akış kullanıcılarını etkileyebilir."
Kâr amacı gütmeyen İnternet Güvenlik Organizasyonu SHADOWSERver Vakfı'ndaki güvenlik araştırmacıları, 1240 açılmamış TeamCity sunucularını saldırılara karşı savunmasız buldu.
Sonar'ın blog yazılarını yayınladıktan sadece günler sonra, tehdit istihbarat şirketleri Greynoise ve Prodaft'a göre, birden fazla saldırgan bu kritik kimlik bypass kusurundan yararlanmaya başladı.
ProDaft, birden fazla fidye yazılımı işleminin CVE-2023-42793 istismarlarını cephaneliğine eklediğini ve bunları savunmasız TeamCity sunucularını ihlal etmek için kullandığını söyledi.
"Birçok popüler fidye yazılımı grubu CVE-2023-42793'ü silahlandırmaya başladı ve sömürü aşamasını iş akışlarına ekledi."
"Blindspot platformumuz, son üç gün içinde tehdit aktörleri tarafından zaten sömürülen birden fazla kuruluşu tespit etti. Ne yazık ki, çoğu önümüzdeki haftalarda büyük bir baş ağrısı olacak."
En az 56 farklı IP adresinden kaynaklanan saldırılar, greynoise tarafından internete maruz kalan Jetbrains TeamCity sunucularını aktif olarak hedefleyen, takılmamış kurulumlara sızmak için ortak çabalarda görüldü.
İki gün önce Greynoise, 29 Eylül'den önce sunucularını düzeltemeyen tüm kuruluşları, sistemlerinin zaten tehlikeye atılma olasılığının yüksek olduğu konusunda uyardı.
JetBrains, TeamCity yazılım oluşturma ve test otomasyon platformunun, Citibank, Ubisoft, HP, Nike ve Ferrari dahil olmak üzere dünya çapında 30.000'den fazla kuruluştaki geliştiriciler tarafından kullanıldığını söylüyor.
Bilgisayar korsanları POC sürümünden sonra kritik ardıç RCE böcek zincirinden yararlanır
Android Ekim Güvenlik Güncellemesi Saldırılarda Sömürülen Sıfır Günleri Düzeltiyor
Sıfır günlük RCE saldırılarına maruz kalan milyonlarca exim posta sunucusu
Bilgisayar korsanları aktif olarak OpenFire Kusurunu Sunucuları Şifrelemek
Yasalaşmamış RCE kusuruna karşı savunmasız binlerce ardıç cihazı
Kaynak: Bleeping Computer