Trusted Design

CVE-2026-63077 の詳細

CVEの情報

説明:
In JetBrains TeamCity before 2026.1.3, 2025.11.7 unauthenticated remote code execution was possible via the agent polling protocol

CVE更新日: 2026-07-27 17:16:38.830000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-08-05

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.895700000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-63077について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-63077は、JetBrains TeamCity On-Premisesに存在する、認証なしのリモートコード実行（RCE）の脆弱性です。この脆弱性は、エージェントポーリングプロトコル内の信頼できないデータの逆シリアル化（CWE-502）の欠陥に起因します。

1.1 影響

この脆弱性が悪用されると、TeamCityサーバーにネットワークアクセスできる認証されていない攻撃者が、TeamCityサーバープロセスと同じ権限で任意のオペレーティングシステムコマンドを実行できる可能性があります。これにより、TeamCityのデータ、設定、保存された認証情報が漏洩したり、サーバーの状態が変更されたり、ビルド成果物や下流のCI/CDパイプラインの整合性が侵害されたりする可能性があります。ランサムウェアグループを含む攻撃者による活発な悪用が報告されています。

1.2 深刻度

この脆弱性の深刻度は「Critical（緊急）」と評価されています。CVSS v3.1ベーススコアは9.8、CVSS v2ベーススコアは10.0です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

JetBrains TeamCity On-Premisesの全バージョンが影響を受けます。具体的には、バージョン2026.1.3および2025.11.7より前のTeamCity On-Premisesのバージョンが影響対象です。 TeamCity Cloudの環境は本脆弱性の影響を受けず、対策も不要です。

2.2 影響を受ける設定

HTTP(S)経由でアクセス可能なTeamCityサーバーが影響を受けます。特に、エージェントポーリングプロトコルのエンドポイントが脆弱性の対象となります。

3. 影響を受けた時の兆候

  • TeamCityサーバープロセスによって、予期しない子プロセス（特にシェル、スクリプトインタープリタ、ダウンロードユーティリティなど）が生成されている。
  • エージェントポーリングポートへの受信トラフィックの後に、TeamCityサーバーから通常とは異なるIPアドレスへのアウトバウンドネットワーク接続が確認される。
  • 許可されていない管理者によって、新規または変更されたビルド構成、プラグイン、あるいはスケジュールされたタスクが導入されている。
  • ポーリングトラフィックの直後にTeamCityホスト上に、異常な認証アーティファクトや新しいサービスアカウントが出現する。
  • 米国のCISAがKnown Exploited Vulnerabilities (KEV) カタログに本脆弱性を追加している。
  • パッチ適用済みのシステムにおいて、ログにNoTypePermission.NONEというメッセージが表示される場合、脆弱性の悪用が試みられたがブロックされたことを示している可能性があります。

4. 推奨対策

4.1 本対策

  • TeamCityサーバーを以下の修正済みバージョンにアップデートしてください。
    • TeamCity 2025.11.7
    • TeamCity 2026.1.3

4.2 暫定回避策（緩和策）

  • すぐにアップデートできない場合、TeamCity 2017.1以降のバージョン向けに提供されているセキュリティパッチプラグインをインストールしてください。このプラグインはCVE-2026-63077のみに対応します。
  • TeamCityサーバーは、通常の操作に必要な最小限のオペレーティングシステム権限で実行することを推奨します。

他に解説すべき観点

  • CISAによる警告と活発な悪用: 米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性を「Known Exploited Vulnerabilities (KEV)」カタログに追加し、米国の連邦政府機関に対し2026年8月8日までに修正するよう指示しました。また、ランサムウェアグループを含む攻撃者による活発な悪用が報告されています。
  • 発見経緯: この脆弱性は、2026年7月10日にセキュリティ研究者のAntoni Tremblay氏によってJetBrainsに非公開で報告されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る