JetBrains исправила сразу 26 уязвимостей в TeamCity - «Новости»

Пользователям JetBrains TeamCity настоятельно рекомендуется установить последнее обновление, так как разработчики сообщают, что устранили в CI/CD-решении сразу 26 уязвимостей. Стоит отметить, что никакие данные о проблемах не раскрываются, и ранее специалисты Rapid7 уже критиковали JetBrains за такой подход.

В примечаниях к релизу версии 2024.03 просто говорится, что в нем было «устранено 26 проблем безопасности». Обычно в таких случаях указывается как минимум идентификатор CVE для каждой уязвимости, а также предполагаемая оценка ее серьезности и краткое описание характера бага.

Однако компания JetBrains выступает против преждевременного раскрытия информации об уязвимостях, заявляя, что таким образом дает администраторам больше времени на установку патчей. В начале текущего месяца специалисты Rapid7 жестко раскритиковали разработчиков JetBrains за такой подход.

Напомним, что тогда в TeamCity был обнаружен ряд критических багов, которые позволяют удаленному неаутентифицированному злоумышленнику получить права администратора и захватить контроль над сервером.

В Rapid7 сочли, что разработчики TeamCity намеренно пытаются утаить информацию об этих проблемах, и спустя всего несколько часов после выхода патчей, эксперты опубликовали детальный анализ уязвимостей и их возможной эксплуатации. В итоге уязвимости быстро взяли на вооружение вымогательские хак-группы и другие злоумышленники.

Похоже, после этого инцидента компания решила проявлять еще большую осторожность и не раскрывает даже идентификаторы CVE.

Также упоминается, что в версии 2024.03 появилась новая функция для пользователей on-premise версии TeamCity, благодаря которой критические обновления безопасности теперь будут загружаться полуавтоматически. Разработчики заявляют, что это поможет «уберечь систему от возникающих рисков и оперативно устранить основные уязвимости».