CISA เพิ่มช่องโหว่ JetBrains TeamCity ลงใน KnownExploited Vulnerabilities (KEV) catalog

CISA เพิ่มช่องโหว่ JetBrains TeamCity ลงใน KnownExploited Vulnerabilities (KEV) catalog

          US Cybersecurity and Infrastructur Security Agency (CISA) ได้เพิ่มช่องโหว่ CVE-2024-27198 (คะแนน CVSS 9.8) เป็นการ bypass authentication ของ JetBrains TeamCity ลงใน KnownExploited Vulnerabilities (KEV) catalog โดยนักวิจัย Rapid7 ได้เปิดเผยช่องโหว่ที่สำคัญใหม่สองรายการที่ CVE-2024-27198 (คะแนน CVSS 9.8) และ CVE-2024-27199 (คะแนน CVSS 7.3) ใน JetBrains TeamCity On-Premises ซึ่งทำให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อควบคุมระบบที่ได้รับผลกระทบได้ดังนี้

• CVE-2024-27198 เป็นช่องโหว่ในการ bypass authentication ใน web component ของ TeamCity ที่เกิดขึ้นจาก path traversal และมีคะแนน CVSS 9.8 (Critical)
• CVE-2024-27199 เป็นช่องโหว่ในการ bypass authentication ใน web component ของ TeamCity ที่เกิดขึ้นจาก path traversal และมีคะแนน CVSS 7.3 (High)

          ช่องโหว่ดังกล่าวส่งผลกระทบต่อ TeamCity On-Premises ทั้งหมดจนถึงเวอร์ชั่น 2023.11.3 โดยได้รับการแก้ไขแล้วในเวอร์ชั่น 2023.11.4 โดยทั้งสองถูกค้นพบโดย Stephen Fewer นักวิจัยหลักด้านความปลอดภัยของ Rapid7 ซึ่งถูกเปิดเผยตามนโยบายการเปิดเผยช่องโหว่ของ Rapid7

          ตามที่ Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities โดยหน่วยงาน FCEB จะต้องแก้ไขช่องโหว่ภายในวันที่กำหนด เพื่อป้องกันการถูกโจมตีและใช้ประโยชน์จากช่องโหว่ใน catalog ซึ่งผู้เชี่ยวชาญได้แนะนำให้องค์กรเอกชนตรวจสอบ catalog เพื่อป้องกันช่องโหว่ในโครงสร้างพื้นฐานด้วย และทาง CISA ได้สั่งให้หน่วยงานรัฐบาลกลางแก้ไขช่องโหว่นี้ภายใน 28 มีนาคม 2024

ที่มาของข่าว: https://securityaffairs.com/160236/security/jetbrains-teamcity-bug-cisa-known-exploited-vulnerabilities-catalog.html