CVE-2024-27199
JetBrains TeamCity Relative Path Traversal Vulnerability
Beschreibung
CVE-2024-27199 ist eine Relative Path Traversal-Schwachstelle in JetBrains TeamCity, einer weit verbreiteten CI/CD (Continuous Integration / Continuous Delivery)-Plattform, die alle Versionen vor 2023.11.4 betrifft. Die Schwachstelle ermöglicht es nicht authentifizierten Remote-Angreifern, eingeschränkte Pfadgrenzen innerhalb der TeamCity-Webanwendung zu überwinden und ohne Authentifizierung begrenzte administrative Aktionen auszuführen, indem über manipulierte relative Pfadsequenzen auf bestimmte Endpunkte zugegriffen wird. TeamCity wurde in Version 2023.11.4 gepatcht, veröffentlicht im März 2024, zusammen mit dem schwerwiegenderen CVE-2024-27198 (ein Authentifizierungs-Bypass mit vollständigem Admin-Zugriff) — die beiden Schwachstellen wurden häufig als zusammengesetzte Angriffskette ausgenutzt, wobei CVE-2024-27198 initialen vollständigen Admin-Zugriff und CVE-2024-27199 zusätzliche Bypass-Möglichkeiten bot. Die Kompromittierung von CI/CD-Plattformen ist besonders gefährlich, weil sie Supply-Chain-Angriffe ermöglicht: Ein Angreifer mit Zugriff auf Build-Konfigurationen kann bösartigen Code in kompilierte Artefakte injizieren, Deployment-Skripte modifizieren, in Build-Umgebungsvariablen gespeicherte Geheimnisse exfiltrieren und Software-Releases mit Backdoors versehen, die dann an nachgelagerte Kunden und Benutzer verteilt werden. CISA hat CVE-2024-27199 am 2026-04-20 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis 2026-05-04. Der EPSS-Score beträgt 0,91744, was ihn in das 99,7. Perzentil einordnet — die Top 0,3 % aller CVEs nach Ausnutzungswahrscheinlichkeit — was mit der beobachteten weitverbreiteten Ausnutzung konsistent ist, die auf die Veröffentlichung im März 2024 folgte.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| jetbrains | teamcity | < 2023.11.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Referenzen
- https://www.darkreading.com/cyberattacks-data-breaches/jetbrains-teamcity-mass-exploitation-underway-rogue-accounts-thrive(Press/Media Coverage)
- https://www.jetbrains.com/privacy-security/issues-fixed/(Vendor Advisory)
- https://github.com/Stuub/RCity-CVE-2024-27198/blob/main/RCity.py(Exploit)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-27199(US Government Resource)
Schwachstellentyp
CWE-23: Relative Path Traversal
CWE-23 beschreibt eine Schwachstelle, bei der eine Anwendung externe Eingaben zur Konstruktion eines Dateipfads oder Ressourcenbezeichners verwendet, aber Sequenzen wie ../ (Punkt-Punkt-Schrägstrich) nicht korrekt neutralisiert, die die Anwendung dazu bringen können, den beabsichtigten Verzeichnis- oder Pfadbereich zu verlassen. Bei CVE-2024-27199 erfolgt der Path Traversal auf der Routing-Ebene der Webanwendung und nicht auf der Dateisystem-Ebene — Angreifer verwenden relative Pfadsequenzen in HTTP-Anfrage-URLs, um interne TeamCity-Endpunkte zu erreichen, die für authentifizierte Administratoren bestimmt sind, und umgehen dabei die Zugriffskontrollprüfungen, die diese Endpunkte normalerweise absichern. Die Schwachstelle ermöglicht dem Angreifer, diese Endpunkte aufzurufen, ohne die standardmäßige Authentifizierungs-Middleware auszulösen, da der traversierte Pfad außerhalb der Code-Pfade landet, die Authentifizierung erzwingen.
Relative Path Traversal im Kontext von Web-Anwendungs-Routing ist zwar von klassischem Dateisystem-Directory-Traversal zu unterscheiden, aber gleichermaßen gefährlich. Wenn der Traversal Authentifizierung umgeht anstatt beliebige Dateien zuzugreifen, ist die Folge effektiv ein Authentifizierungs-Bypass für einen abgegrenzten Funktionsbereich. Im Fall von TeamCity umfassten die über diesen Traversal erreichbaren "begrenzten Admin-Aktionen" in Kombination mit CVE-2024-27198 (vollständiger Authentifizierungs-Bypass) die vollständige Server-Übernahme. Auch isoliert betrachtet könnten die erreichbaren Admin-Aktionen je nach den über den Traversal zugänglichen Endpunkten Konfigurationslesevorgänge, Benutzererstellung oder Agent-Modifikation ermöglichen. Die Ausnutzungskampagnen vom März 2024 zeigten, dass Bedrohungsakteure diese beiden Schwachstellen verketteten, um innerhalb von Stunden nach der Patch-Veröffentlichung vollständigen, persistenten administrativen Zugriff auf TeamCity-Server zu erlangen.
Mehr erfahren: CWE-23 — Relative Path Traversal
Auswirkungsanalyse
Der Angriffsvektor ist Netzwerk (Network) — CVE-2024-27199 ist von jedem Netzwerkstandort aus ausnutzbar, der das TeamCity Web-Interface erreichen kann, das für verteilte Entwicklungsteams häufig dem Internet ausgesetzt oder auf Cloud-Infrastruktur mit breitem Netzwerkzugang gehostet ist. Die Angriffskomplexität (Attack Complexity) ist Niedrig (Low) — das Konstruieren der Traversal-Pfadsequenz erfordert keine besonderen Vorbedingungen, zielspezifisches Wissen oder Race Conditions über die Kenntnis der TeamCity-Server-Adresse hinaus. Erforderliche Rechte (Privileges Required) sind Keine (None) — das gesamte Wesen der Schwachstelle besteht darin, dass Authentifizierung durch den Path Traversal umgangen wird. Benutzerinteraktion (User Interaction) ist Keine (None).
Der Scope der Auswirkungen für CVE-2024-27199 isoliert betrachtet ist auf die spezifischen durch den Traversal erreichbaren Admin-Aktionen beschränkt, aber im realen Kontext seiner koordinierten Veröffentlichung zusammen mit CVE-2024-27198 ist die kombinierte Auswirkung Vollständig: vollständiger administrativer Zugriff auf den TeamCity-Server, alle Build-Konfigurationen, alle gespeicherten Geheimnisse und Umgebungsvariablen, alle VCS-Root-Zugangsdaten und alle Build-Agents. Der Vertraulichkeitsimpact (Confidentiality) ist Hoch (High) durch Zugriff auf Quellcode, Build-Geheimnisse, API-Schlüssel, Signing-Zertifikate und Cloud-Provider-Zugangsdaten, die typischerweise in TeamCity-Build-Konfigurationen gespeichert sind. Der Integritätsimpact (Integrity) ist Hoch (High): Ein Angreifer mit Admin-Zugriff kann Build-Konfigurationen modifizieren, um bösartige Schritte einzufügen, Artefakt-Output-Pfade zu ändern, Backdoors in Quellcode via erzwungene Commits einzubauen oder Deployment-Pipelines zu manipulieren. Der Verfügbarkeitsimpact (Availability) ist Hoch (High): Build-Infrastruktur kann deaktiviert, Agents getrennt oder Build-Historie zerstört werden.
Die Supply-Chain-Dimension hebt die reale Auswirkung über den unmittelbaren TeamCity-Host hinaus — Software, die von einer kompromittierten TeamCity-Instanz gebaut und signiert wurde, kann Malware an Kunden, Partner und Endbenutzer verteilen, wie in den SolarWinds- und 3CX-Supply-Chain-Vorfällen beobachtet. Der EPSS-Score im 99,7. Perzentil und aktive Ransomware-Nutzung machen dies zu einer der kritischsten Remediierungsprioritäten für jede Organisation, die ungepatchtes TeamCity betreibt.
Exploit-Reifegrad
CVE-2024-27199 weist eines der höchsten Exploit-Reifeprofile aller derzeit im KEV-Katalog befindlichen Schwachstellen auf. CISA hat ihn am 2026-04-20 mit einer Frist bis 2026-05-04 hinzugefügt, aber die Ausnutzung in der Praxis begann innerhalb von Tagen nach der Patch-Veröffentlichung am 4. März 2024 — was bedeutet, dass die Schwachstelle über zwei Jahre aktive Ausnutzungshistorie aufweist. Der EPSS-Score von 0,91744 platziert ihn im 99,7. Perzentil, die Top 0,3 % aller CVEs, was anhaltende hochvolumige Ausnutzungsversuche widerspiegelt, die seit März 2024 konsistent in Threat-Intelligence-Feeds erfasst wurden.
Ransomware-Nutzung ist bestätigt. Mehrere Threat-Intelligence-Quellen dokumentierten Ransomware-Betreiber, die CVE-2024-27198 und CVE-2024-27199 in zusammengesetzten Angriffen kurz nach der öffentlichen Veröffentlichung ausnutzten und dabei die nativen Software-Verteilungsfähigkeiten der CI/CD-Pipeline zum Einsatz brachten. Dies ist ein besonders effizienter Ransomware-Vektor, weil die Build-Agents von TeamCity auf verwalteten Systemen verwendet werden können, um beliebige Befehle im Kontext des Build-Agent-Service-Kontos auszuführen.
Auch nationalsstaatliche Bedrohungsakteure wurden bei der Ausnutzung dieser Schwachstellen beobachtet. JetBrains, Rapid7 und nachfolgende Threat-Intelligence-Berichte dokumentierten Advanced-Persistent-Threat-Aktivitäten gegen TeamCity-Instanzen in den Wochen nach der Veröffentlichung, konsistent mit dem beobachteten Muster des nationalsstaatlichen Interesses an CI/CD-Plattformen für Supply-Chain-Infiltration (wie beim früheren CVE-2023-42793 TeamCity-Schwachstelle, der von der Lazarus Group und Midnight Blizzard ausgenutzt wurde). Jede Organisation, die ungepatchte TeamCity-Versionen zwischen März 2024 und ihrem Patch-Datum betrieb, sollte unabhängig vom aktuellen KEV-Listungsdatum eine Kompromittierungsbewertung durchführen.
Behebung
-
Einhaltung der CISA KEV Directive: Föderale zivile Exekutivbehörden müssen CVE-2024-27199 bis 2026-05-04 gemäß BOD 22-01 remediieren. Angesichts des EPSS-Scores im 99,7. Perzentil und der bekannten Ausnutzung durch Ransomware-Kampagnen sollten alle Organisationen dieselbe Dringlichkeit unabhängig von regulatorischen Anforderungen anwenden.
-
TeamCity auf 2023.11.4 oder höher aktualisieren: Die Behebung von CVE-2024-27199 (und dem gleichzeitig veröffentlichten CVE-2024-27198) wurde in JetBrains TeamCity 2023.11.4 integriert, veröffentlicht am 4. März 2024. Aktualisieren Sie sofort auf 2023.11.4 oder ein späteres Release. Für TeamCity Cloud-Instanzen hat JetBrains Patches automatisch eingespielt. Für selbst-gehostete Instanzen aktualisieren Sie über die TeamCity-Administration > Updates-Oberfläche oder durch Herunterladen des Installers von jetbrains.com. Überprüfen Sie die installierte Version unter Administration > Global Settings.
-
Interim-Maßnahmen: Falls ein sofortiges Upgrade nicht möglich ist, beschränken Sie den Zugriff auf das TeamCity Web-Interface auf nur vertrauenswürdige IP-Bereiche über Firewall-Regeln oder einen Reverse-Proxy mit IP-Allowlisting. Deaktivieren Sie während des Remediierungsfensters vollständig jede öffentliche Internet-Exposition des TeamCity-Servers. Erwägen Sie, TeamCity in den Wartungsmodus zu versetzen, um neue Build-Ausführungen zu verhindern, solange das Risiko erhöht ist.
-
Netzwerk- und Zugriffskontrollen: Überprüfen Sie alle Netzwerkpfade zur TeamCity-Instanz. TeamCity sollte niemals direkt internet-facing ohne VPN oder netzwerk-ebenen-Authentifizierung als Voraussetzung sein. Stellen Sie sicher, dass Build-Agents ebenfalls vom Internet isoliert sind und nur über interne Netzwerke mit dem TeamCity-Server kommunizieren. Überprüfen Sie Cloud-Security-Group-Regeln und Load-Balancer-Konfigurationen auf öffentlich zugängliche TeamCity-Listener.
-
Incident-Untersuchung und Threat Hunting: Angesichts der bestätigten KEV-Listung und der weitverbreiteten Ausnutzung, die im März 2024 begann, sollte jede Organisation, die TeamCity-Versionen vor 2023.11.4 betrieb, eine umfassende Kompromittierungsbewertung durchführen. Überprüfen Sie TeamCity-Audit-Logs auf unautorisierte Administrator-Kontoerstellung, Build-Konfigurationsänderungen, neue VCS-Root-Hinzufügungen und unerwartete Plugin-Installationen. Untersuchen Sie Build-Agent-Logs auf unerwartete Skript-Ausführungen. Suchen Sie nach Web-Shell-Dateien im TeamCity-Installationsverzeichnis. Rotieren Sie alle in TeamCity gespeicherten Geheimnisse: VCS-Zugangsdaten, Cloud-API-Schlüssel, Signing-Zertifikate und Deployment-Zugangsdaten. Überprüfen Sie nachgelagerte Build-Artefakte auf Manipulation, falls eine Kompromittierung vermutet wird.
-
Supply-Chain-Härtung gegen CWE-23: Implementieren Sie Artefakt-Signing und Hash-Verifizierung für alle Build-Outputs, sodass nachgelagerte Nutzer manipulierte Artefakte erkennen können. Verwenden Sie separate, isolierte TeamCity-Instanzen für Produktions-Build-Pipelines und Entwicklung. Wenden Sie das Prinzip der minimalen Rechte auf TeamCity-Projekt- und Build-Konfigurationsberechtigungen an. Speichern Sie Geheimnisse möglichst in externen Vault-Systemen (HashiCorp Vault, AWS Secrets Manager) statt direkt in TeamCity-Build-Parametern. Aktivieren Sie das TeamCity-Audit-Log und leiten Sie es an ein SIEM für Echtzeit-Anomalieerkennung weiter.
Technische Details
CVE-2024-27199 wurde von JetBrains in Koordination mit Rapid7 veröffentlicht, die sowohl CVE-2024-27199 als auch CVE-2024-27198 an JetBrains gemeldet hatten. Die Schwachstellen wurden am 4. März 2024 in TeamCity 2023.11.4 gepatcht und im JetBrains Security Bulletin (TW-85531 / TW-85530) detailliert beschrieben. Rapid7 veröffentlichte kurz nach dem Patch eine technische Analyse, und Proof-of-Concept-Exploit-Code wurde innerhalb von Tagen nach dem Advisory öffentlich zugänglich.
Der Path-Traversal-Mechanismus in CVE-2024-27199 nutzt die Art und Weise aus, wie TeamCitys Routing-Schicht bestimmte URL-Muster verarbeitet. Durch Einfügen relativer Path-Traversal-Sequenzen (../, URL-kodierte Varianten oder doppelt kodierte Sequenzen) in HTTP-Anfrage-Pfade, die auf bestimmte Endpunkte abzielen, können Angreifer interne TeamCity-Servlet-Endpunkte erreichen, die Anfragen verarbeiten, ohne den vollständigen Authentifizierungskontext zu erfordern, der normalerweise durch die Sicherheitsfilter-Kette der Anwendung erzwungen wird. Die über diesen Traversal zugänglichen Endpunkte erlauben einige begrenzte administrative Operationen — die genaue Menge hängt von der TeamCity-Version und -Konfiguration ab, aber in den Ausnutzungskampagnen vom März 2024 wurden Angreifer beobachtet, wie sie CVE-2024-27198 für primären Zugriff und CVE-2024-27199 als sekundären Bypass-Mechanismus verwendeten.
CVE-2024-27198 (Critical, CVSS 9.8) ist die Geschwister-Schwachstelle — ein alternativer Authentifizierungs-Bypass-Pfad, der uneingeschränkten Admin-Zugriff gewährte. Die beiden wurden typischerweise verkettet: CVE-2024-27198 zur Erstellung eines neuen Admin-Kontos, dann Verwendung dieses Kontos für persistenten Zugriff, mit CVE-2024-27199 als sekundärem Bypass-Zugriffsweg. Nationalsstaatliche Akteure (öffentlich dem Midnight Blizzard / Cozy Bear-Cluster zugeschrieben, in Anlehnung an ihr früheres Interesse an TeamCity aus CVE-2023-42793) und kriminelle Ransomware-Gruppen nutzten diese Schwachstellen innerhalb desselben Ausnutzungsfensters aus.
Der CVSS 3.1 Base Score für CVE-2024-27199 spiegelt Hohe Schwere (AV:N/AC:L/PR:N/UI:N/S:U) mit partiellem Scope des Admin-Aktionszugriffs wider, im Gegensatz zum vollständigen Critical von CVE-2024-27198. Isoliert betrachtet ist CVE-2024-27199 Hoch; in der kombinierten Angriffskette mit CVE-2024-27198 ist die kombinierte reale Auswirkung Critical.
Häufig gestellte Fragen
Wird CVE-2024-27199 aktiv ausgenutzt?
Ja — und das bereits seit März 2024, unmittelbar nach der öffentlichen Veröffentlichung. CISA hat ihn in den KEV-Katalog aufgenommen und der EPSS-Score im 99,7. Perzentil bestätigt anhaltende weitverbreitete Ausnutzung. Ransomware-Betreiber und nationalsstaatliche Bedrohungsakteure haben diese Schwachstelle beide dokumentiert ausgenutzt, oft verkettet mit der Geschwister-Schwachstelle CVE-2024-27198. Jede TeamCity-Instanz, die noch nicht auf Version 2023.11.4 oder höher aktualisiert wurde, sollte als potenziell kompromittiert betrachtet werden.
Welche Produkte sind betroffen?
JetBrains TeamCity, alle Versionen vor 2023.11.4 (selbst-gehostet). TeamCity Cloud wurde von JetBrains automatisch gepatcht. Die Schwachstelle betrifft TeamCitys Webanwendungs-Routing-Schicht unabhängig vom zugrundeliegenden Betriebssystem oder der Deployment-Umgebung (Linux, Windows, Docker). CVE-2024-27199 wurde typischerweise zusammen mit CVE-2024-27198 ausgenutzt, einem separaten, aber gleichzeitig veröffentlichten Authentifizierungs-Bypass in denselben TeamCity-Versionen.
Wie behebe ich die Schwachstelle?
Aktualisieren Sie JetBrains TeamCity auf Version 2023.11.4 oder höher. Der Patch wurde am 4. März 2024 veröffentlicht. Navigieren Sie zu Administration > Updates im TeamCity Web-Interface oder laden Sie den aktualisierten Installer von jetbrains.com herunter. Führen Sie nach dem Patching eine Kompromittierungsbewertung durch, falls die Instanz zuvor exponiert war: Überprüfen Sie Audit-Logs, rotieren Sie alle gespeicherten Zugangsdaten und verifizieren Sie die Integrität von Build-Artefakten, falls administrativer Zugriff potenziell kompromittiert wurde.
Wie schwerwiegend ist die Schwachstelle?
CVE-2024-27199 wird isoliert als Hoch eingestuft, aber im realen kombinierten Angriffskontext mit CVE-2024-27198 als Critical. Zusammen ermöglichten sie eine vollständige nicht authentifizierte Übernahme von TeamCity CI/CD-Servern. Die Kompromittierung eines CI/CD-Servers ermöglicht Supply-Chain-Angriffe — die Injektion von bösartigem Code in Build-Artefakte, der dann an Kunden und Endbenutzer verteilt wird, sowie Ransomware-Deployment über Build-Agents. Der EPSS-Score im 99,7. Perzentil und bestätigte Ransomware-Nutzung machen dies zu einer der kritischsten Schwachstellen-Remediierungen in der aktuellen Bedrohungslandschaft.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.