JetBrains TeamCity: Remote Code Execution über Whitelist-Umgehung in Build-Nachrichten
Zusammenfassung
JetBrains TeamCity, ein selbst gehosteter CI/CD-Build-Server, enthält eine Deserialisierungsschwachstelle (CWE-502), die Remote Code Execution ermöglicht. Die Schwachstelle wird durch eine Whitelist-Umgehung im Protokoll für Build-Nachrichten verursacht. Die Quellen widersprechen sich bei der Angriffskomplexität (NVD-Spiegel hoch, CNA-Eintrag niedrig), weshalb der CVSS-Wert von 9.8 anhand des NVD-Eintrags überprüft werden sollte.
Betroffen
- TeamCity vor 2026.2
- TeamCity 2026.1 bis 2026.1.4 (gemäss Vulners-Bereich; genaue Bereiche im Herstellerhinweis prüfen)
- TeamCity vor 2025.11.8 (gemäss Vulners-Bereich; genaue Bereiche im Herstellerhinweis prüfen)
Behoben in
- TeamCity 2026.2
- TeamCity 2026.1.4
- TeamCity 2025.11.8
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no.
- Nicht in der KEV-Liste.
- Laut VulDB ist kein öffentlicher Exploit verfügbar.
Unsere Empfehlung
- Alle TeamCity-Server und deren Versionen erfassen und Instanzen mit Internetzugang kennzeichnen.
- So bald wie möglich auf TeamCity 2026.2, 2026.1.4 oder 2025.11.8 aktualisieren.
- Zugriff auf die Server- und Agent-Endpunkte von TeamCity nach Möglichkeit auf interne Netze oder VPN beschränken.
- Logs prüfen und Build- und Deployment-Zugangsdaten rotieren, falls ein Server vor dem Patchen exponiert war.
- Zusätzlich auf mindestens 2025.11.7 oder 2026.1.3 aktualisieren, um die verwandte CVE-2026-63077 zu beheben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JetBrains: Fixed security issues www.jetbrains.com
- NVD record data mirror (OpenCVE) app.opencve.io
- VulDB entry 420700 vuldb.com
- Vulners CVE-2026-111094 vulners.com
- Strix CVE-2026-111094 www.strix.ai
- SafeSecurity: CVE-2026-63077 (related TeamCity RCE) safe.security
- WhiteHat: TeamCity build RCE whitehat.eu
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.