56/67 (IT) ประจำวันศุกร์ที่ 9 กุมภาพันธ์ 2567
JetBrains เตือนลูกค้าเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่สำคัญในซอฟต์แวร์ TeamCity On-Premises continuous integration และ continuous deployment (CI/CD) สามารถถูก exploit ได้ ที่ CVE-2024-23917 มีคะแนน CVSS 9.8 โดยช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องด้วย HTTP(S) เข้าถึงเซิร์ฟเวอร์ TeamCity เพื่อเลี่ยงผ่านการตรวจสอบการรับรองความถูกต้องและได้รับสิทธิ์ผู้ดูแลระบบของเซิร์ฟเวอร์ TeamCity ซึ่งช่องโหว่ได้ส่งผลกระทบต่อ TeamCity On-Premises เวอร์ชัน 2017.1 ถึง 2023.11.2 ทั้งหมด โดยช่องโหว่ดังกล่าวถูกพบจากนักวิจัยด้านความปลอดภัยที่ไม่เปิดเผยชื่อได้รับเครดิตในการค้นพบและรายงานช่องโหว่เมื่อวันที่ 19 มกราคม 2024 และช่องโหว่ได้รับการแก้ไขแล้วในเวอร์ชัน 2023.11.3
ผู้ใช้งานที่ไม่สามารถอัปเดตเซิร์ฟเวอร์เป็นเวอร์ชัน 2023.11.3 สามารถดาวน์โหลดปลั๊กอินโปรแกรมแก้ไขความปลอดภัยเพื่อใช้ในการแก้ไขช่องโหว่ได้ ซึ่งในขณะนี้ยังไม่มีหลักฐานว่าช่องโหว่ดังกล่าวถูกนำไปใช้ประโยชน์ แต่ช่องโหว่ที่คล้ายกันในผลิตภัณฑ์เดียวกัน ที่ CVE-2023-42793 คะแนน CVSS: 9.8 ได้ถูกนำไปใช้ประโยชน์เมื่อปีที่แล้ว
แหล่งข่าว https://thehackernews.com/2024/02/critical-jetbrains-teamcity-on-premises.html
