Бандите за изнудване сега се насочват към наскоро поправена критична уязвимост в TeamCity на JetBrains за непрекъснато интегриране и разгръщане.

Недостатъкът (проследен като CVE-2023-42793 и маркиран с оценка за сериозност 9,8/10) позволява на неавтентифицирани нападатели да получат отдалечено изпълнение на код (RCE) след успешно използване на слабост в заобикалянето на удостоверяването при атаки с ниска сложност, които не изискват взаимодействие с потребителя.

Швейцарската фирма за сигурност Sonar (чиито изследователи откриха и докладваха уязвимостта) публикува пълни технически подробности една седмица след като JetBrains отстрани критичния проблем със сигурността с пускането на TeamCity 2023.05.4 на 21 септември.

JetBrains твърди, че недостатъкът засяга всички версии на TeamCity преди коригираното издание, но само локални сървъри, инсталирани на Windows, Linux и macOS, или които работят в Docker.

„Това дава възможност на нападателите не само да откраднат изходния код, но и съхраняваните служебни тайни и частни ключове“, обяснява Стефан Шилер, изследовател на уязвимости в Sonar.

„И това е още по-лошо: с достъп до процеса на изграждане, атакуващите могат да инжектират зловреден код, компрометирайки целостта на софтуерните версии и засягайки всички потребители надолу по веригата.“

Изследователи по сигурността от организацията с нестопанска цел за интернет сигурност Shadowserver Foundation откриха 1240 непоправени TeamCity сървъра, уязвими за атаки.

Уязвими сървъри (Shadowserver Foundation)

Зададени цели на уязвими сървъри на TeamCity

Само няколко дни след като Sonar публикува публикацията си в блога, множество нападатели започнаха да използват този критичен недостатък, свързан със  заобикалянето на авторските права, според компаниите за разузнаване на заплахи GreyNoise и PRODAFT.

От PRODAFT заявиха, че множество операции с рансъмуер вече са добавили експлойти CVE-2023-42793 към арсенала си и ги използват за пробив на уязвими сървъри TeamCity.

„Много популярни групи за рансъмуер започнаха да използват като оръжие CVE-2023-42793 и добавиха фазата на експлоатация в работния си процес“, предупреди PRODAFT през уикенда.

„Нашата платформа BLINDSPOT откри множество организации, които вече са експлоатирани от заплахите през последните три дни. За съжаление, повечето от тях ще имат огромно главоболие през следващите седмици“.

GreyNoise е забелязал атаки, произхождащи от поне 56 различни IP адреса, които са били активно насочени към изложените в интернет сървъри JetBrains TeamCity в съгласувани усилия за проникване в непоправени инсталации.

Два дни по-рано GreyNoise предупреди всички организации, които не са успели да закърпят сървърите си преди 29 септември, че има голяма вероятност системите им вече да са компрометирани.

JetBrains твърди, че нейната платформа за автоматизация на изграждането и тестването на софтуер TeamCity се използва от разработчици в повече от 30 000 организации по света, включително Citibank, Ubisoft, HP, Nike и Ferrari.