Хакер #305. Многошаговые SQL-инъекции
Пользователям JetBrains TeamCity настоятельно рекомендуется установить последнее обновление, так как разработчики сообщают, что устранили в CI/CD-решении сразу 26 уязвимостей. Стоит отметить, что никакие данные о проблемах не раскрываются, и ранее специалисты Rapid7 уже критиковали JetBrains за такой подход.
В примечаниях к релизу версии 2024.03 просто говорится, что в нем было «устранено 26 проблем безопасности». Обычно в таких случаях указывается как минимум идентификатор CVE для каждой уязвимости, а также предполагаемая оценка ее серьезности и краткое описание характера бага.
Однако компания JetBrains выступает против преждевременного раскрытия информации об уязвимостях, заявляя, что таким образом дает администраторам больше времени на установку патчей. В начале текущего месяца специалисты Rapid7 жестко раскритиковали разработчиков JetBrains за такой подход.
Напомним, что тогда в TeamCity был обнаружен ряд критических багов, которые позволяют удаленному неаутентифицированному злоумышленнику получить права администратора и захватить контроль над сервером.
В Rapid7 сочли, что разработчики TeamCity намеренно пытаются утаить информацию об этих проблемах, и спустя всего несколько часов после выхода патчей, эксперты опубликовали детальный анализ уязвимостей и их возможной эксплуатации. В итоге уязвимости быстро взяли на вооружение вымогательские хак-группы и другие злоумышленники.
Похоже, после этого инцидента компания решила проявлять еще большую осторожность и не раскрывает даже идентификаторы CVE.
«Мы не раскрываем подробности проблем, связанных с безопасностью, чтобы не подвергать риску клиентов, которые продолжают использовать предыдущие исправления и/или основные версии TeamCity», — пишут в JetBrains, больше не сообщая никаких деталей.
Также упоминается, что в версии 2024.03 появилась новая функция для пользователей on-premise версии TeamCity, благодаря которой критические обновления безопасности теперь будут загружаться полуавтоматически. Разработчики заявляют, что это поможет «уберечь систему от возникающих рисков и оперативно устранить основные уязвимости».
