CVE-2023-42793

Falha de authentication bypass (CWE-288) no TeamCity On-Premises que permite a um atacante não autenticado, com acesso HTTP(S) ao servidor, obter controle administrativo completo e executar código arbitrário no servidor de CI/CD. É crítica de fato: não exige credenciais, não exige configuração não padrão, e o TeamCity concentra segredos de build, chaves de deploy e acesso a repositórios — comprometê-lo costuma significar comprometer toda a cadeia de build da organização. TeamCity Cloud não foi afetado, só a versão on-premises.

A vulnerabilidade foi descoberta pela equipe da Sonar e reportada à JetBrains em 6 de setembro de 2023. Segundo a JetBrains, o problema permite que um atacante sem autenticação, com acesso HTTP(S) ao servidor TeamCity, contorne os controles de autenticação e alcance funcionalidade normalmente restrita a administradores, o que possibilita RCE. O CISA classificou a falha como CWE-288 (Authentication Bypass Using an Alternate Path or Channel), o que indica que o mecanismo é o acesso a endpoints/rotas administrativas por um caminho alternativo que não passa pelo filtro de autenticação esperado, e não uma falha de credencial fraca ou força bruta.

A JetBrains não publicou detalhes técnicos completos do bypass em seu post-mortem, remetendo ao blog da Sonar (descobridora) para a reprodução técnica — conteúdo que não está disponível nas fontes usadas aqui, então evitamos especular sobre o endpoint exato ou a string de exploração.

O impacto declarado pelo fornecedor é direto: bypass de autenticação leva a controle administrativo do servidor, que por sua vez permite RCE — plausivelmente via funcionalidades legítimas do TeamCity que ficam disponíveis a um admin (upload de plugin, configuração de build steps, gerenciamento de agentes), mas isso é o encadeamento lógico do impacto declarado, não um passo a passo comprovado pelas fontes lidas.

O vetor é rede: qualquer atacante com acesso HTTP(S) à interface do TeamCity Server (porta web padrão) pode tentar o bypass sem possuir conta ou token. Não há pré-condição de configuração especial — é a instalação padrão que é vulnerável. A Sonar alertou publicamente, no anúncio inicial, que a exploração seria trivial e que ataques em massa eram esperados rapidamente; a JetBrains publicou o patch em 18/21 de setembro de 2023 e a CVE saiu em 19/09/2023.

A exploração em massa se confirmou: a GreyNoise registrou as primeiras tentativas em 27 de setembro de 2023, com pico no dia seguinte, e identificou tentativas partindo de 56 IPs únicos até 1º de outubro. A Prodaft reportou grupos de ransomware visando ativamente o CVE-2023-42793. A Shadowserver Foundation escaneou a internet e encontrou cerca de 1.300 IPs únicos com servidores vulneráveis expostos, concentrados nos EUA, Alemanha, Rússia e China. Está no catálogo KEV da CISA desde 04/10/2023, com prazo de correção definido para 25/10/2023 — confirmação de exploração ativa e generalizada, não apenas risco teórico.

O resultado final documentado pelo fornecedor é controle administrativo total do servidor TeamCity e execução remota de código, o que em ambientes de CI/CD se traduz em acesso a segredos de pipeline, possibilidade de injetar código malicioso em builds (ataque à cadeia de suprimentos de software) e pivô lateral para outros sistemas integrados ao servidor.

Atualizar para TeamCity 2023.05.4 ou posterior é a correção definitiva. Para quem não pode atualizar imediatamente, a JetBrains publicou um plugin de correção específico para essa CVE, com dois pacotes: um para versões anteriores a 2018.1 (link fornecido pela JetBrains) e outro para versões 2018.2 em diante, cobrindo a partir da versão 8.0. Esse plugin é um paliativo oficial do próprio fornecedor, não um workaround de terceiros, e foi a orientação dada a clientes Enterprise que não conseguiram migrar a tempo.

TeamCity Cloud não precisa de ação — não foi afetado. Não há mitigação eficaz baseada apenas em restringir a interface administrativa via firewall/VPN se o servidor ainda expõe a porta HTTP(S) usada pelo bypass a qualquer rede não totalmente isolada; dado que o vetor é a própria interface web pública do servidor, a única mitigação real sem patch é isolar completamente o acesso de rede ao servidor (o que geralmente quebra funcionalidade de agentes remotos) ou desligar o serviço, conforme a própria recomendação de ação do CISA no KEV ("aplicar mitigações do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível").

Sinais de varredura/exploração em massa foram observados por terceiros a partir de 27 de setembro de 2023 (GreyNoise), então tráfego HTTP anômalo direcionado a endpoints administrativos do TeamCity antes de autenticação, partindo de IPs de scanning conhecidos, é um indicador retroativo relevante para esse período. Em nível de host, o sinal mais confiável é auditoria: criação inesperada de novos usuários administradores, novos tokens de API, novos plugins instalados ou agentes registrados sem correlação com atividade humana legítima no TeamCity. As fontes consultadas não detalham uma assinatura de log específica (string de URL ou payload) publicada oficialmente pela JetBrains ou pela Sonar, então não há uma assinatura única e confiável de rede para confirmar tentativa — a ausência desse detalhe público é ela mesma uma informação relevante para quem monta detecção.