ចំណុចខ្សោយធ្ងន់ធ្ងររបស់ JetBrains អនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រតិបត្តិកូដព្យាបាទពីចម្ងាយ - ធ្វើបច្ចុប្បន្នភាពឥឡូវនេះ

JetBrains បានប្រកាសពីចំណុចខ្សោយដ៏សំខាន់មួយនៅក្នុង TeamCity On-Premises ដែលត្រូវបានកំណត់ថាជា CVE-2026-63077។ ចំណុចខ្សោយនេះអនុញ្ញាតឱ្យអ្នកវាយប្រហាររំលងការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងប្រតិបត្តិពាក្យបញ្ជាតាមអំពើចិត្តពីចម្ងាយ។

វាប៉ះពាល់ដល់កំណែទាំងអស់នៃ TeamCity On-Premises។ អ្នកវាយប្រហារគ្រាន់តែត្រូវការការចូលប្រើ HTTP ឬ HTTPS ទៅកាន់ម៉ាស៊ីនមេ TeamCity ដែលងាយរងគ្រោះដើម្បីទាញយកប្រយោជន៍ពីបញ្ហានេះ ដោយមិនចាំបាច់មានគណនី ពាក្យសម្ងាត់ ឬការចូលប្រើជាមុនដែលមានសុពលភាពនោះទេ។

យោងតាម ​​​​JetBrains ចំណុចខ្សោយនេះស្ថិតនៅក្នុងពិធីការស្ទង់មតិភ្នាក់ងារ TeamCity។ អ្នកវាយប្រហារពីចម្ងាយអាចប្រើពិធីការនេះដើម្បីរំលងការត្រួតពិនិត្យការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងប្រតិបត្តិពាក្យបញ្ជាប្រព័ន្ធប្រតិបត្តិការដោយមានសិទ្ធិដូចគ្នានឹងដំណើរការម៉ាស៊ីនមេ TeamCity។

កម្រិតនៃការចូលប្រើនេះបង្កហានិភ័យធ្ងន់ធ្ងរសម្រាប់អង្គការដែលប្រើប្រាស់ TeamCity ដើម្បីគ្រប់គ្រងការបង្កើតកម្មវិធី ការចេញផ្សាយ និងបំពង់ CI/CD។ ការវាយប្រហារដោយជោគជ័យអាចបង្ហាញព័ត៌មានសម្ងាត់ដែលបានរក្សាទុក ឯកសារកំណត់រចនាសម្ព័ន្ធ ទិន្នន័យបង្កើត និងអាថ៌កំបាំងគម្រោង។ លើសពីនេះ អ្នកវាយប្រហារអាចផ្លាស់ប្តូរការកំណត់បង្កើត កែប្រែវត្ថុបុរាណ ឬចាក់កូដព្យាបាទទៅក្នុងកំណែកម្មវិធីខាងក្រោម។

ភាពងាយរងគ្រោះរបស់ JetBrains

JetBrains បានកំណត់ឧបករណ៍កំណត់អត្តសញ្ញាណ CVE-2026-63077 ចំពោះបញ្ហានេះ បន្ទាប់ពីវាត្រូវបានរាយការណ៍ជាឯកជននៅថ្ងៃទី 10 ខែកក្កដា ឆ្នាំ 2026 ដោយអ្នកស្រាវជ្រាវសន្តិសុខ Antoni Tremblay តាមរយៈដំណើរការបង្ហាញព័ត៌មានសម្របសម្រួលរបស់ក្រុមហ៊ុន។

ក្រុមហ៊ុនបានជួសជុលភាពងាយរងគ្រោះនៅក្នុង TeamCity កំណែ 2025.11.7 និង 2026.1.3។ អ្នកគ្រប់គ្រងត្រូវបានជំរុញឱ្យទាញយក និងដំឡើងកំណែមួយក្នុងចំណោមកំណែទាំងនេះភ្លាមៗ ឬប្រើមុខងារធ្វើបច្ចុប្បន្នភាពដោយស្វ័យប្រវត្តិដែលភ្ជាប់មកជាមួយនៅពេលដែលមាន។

សម្រាប់អង្គការដែលមិនអាចធ្វើឱ្យប្រសើរឡើងភ្លាមៗ កម្មវិធីជំនួយបំណះសុវត្ថិភាពដែលឧទ្ទិសអាចត្រូវបានដំឡើង។ កម្មវិធីជំនួយនេះគាំទ្រ TeamCity កំណែ 2017.1 និងក្រោយនេះ ហើយដោះស្រាយជាពិសេស CVE-2026-63077។

ទោះជាយ៉ាងណាក៏ដោយ JetBrains សង្កត់ធ្ងន់ថា ការអនុវត្តកម្មវិធីជំនួយនេះគ្រាន់តែជាដំណោះស្រាយបណ្តោះអាសន្នប៉ុណ្ណោះ ព្រោះការធ្វើឱ្យប្រសើរឡើងកំណែពេញលេញក៏ផ្តល់នូវការជួសជុលសុវត្ថិភាពសំខាន់ៗផងដែរ។

សម្រាប់អ្នកប្រើប្រាស់ TeamCity កំណែ 2024.03 និងក្រោយនេះ វេទិកាអាចទាញយកកម្មវិធីជំនួយបំណះសុវត្ថិភាពដែលមានដោយស្វ័យប្រវត្តិ ហើយនៅពេលដែលការជូនដំណឹងត្រូវបានបើក នឹងជូនដំណឹងដល់អ្នកគ្រប់គ្រង។ ការអាប់ដេតសុវត្ថិភាពអាចត្រូវបានត្រួតពិនិត្យពីម៉ឺនុយរដ្ឋបាលនៅក្រោមការអាប់ដេត និងការអាប់ដេតសុវត្ថិភាពដែលអាចប្រើបាន។

វាជាការសំខាន់ក្នុងការកត់សម្គាល់ថាម៉ាស៊ីនមេដែលដំណើរការ TeamCity កំណែ 2017.1 ដល់ 2018.1 នឹងត្រូវការការចាប់ផ្តើមឡើងវិញបន្ទាប់ពីដំឡើងកម្មវិធីជំនួយ។ ផ្ទុយទៅវិញ TeamCity កំណែ 2018.2 និងក្រោយមកអាចបើកកម្មវិធីជំនួយបំណះដោយមិនចាំបាច់ចាប់ផ្តើមម៉ាស៊ីនមេឡើងវិញ។

JetBrains បានបញ្ជាក់ថាអតិថិជន TeamCity Cloud មិនចាំបាច់ចាត់វិធានការណាមួយទេ ព្រោះក្រុមហ៊ុនបានអនុវត្តការការពាររួចហើយនៅក្នុងបរិស្ថានពពករបស់ខ្លួន ហើយមិនបានរកឃើញភស្តុតាងនៃការកេងប្រវ័ញ្ចកំហុសនេះនៅក្នុងឧទាហរណ៍ TeamCity Cloud ទេ។

នៅពេលនៃការប្រកាសនេះ JetBrains បានបង្ហាញថាខ្លួនមិនបានដឹងអំពីការកេងប្រវ័ញ្ចសកម្មណាមួយនៅក្នុងធម្មជាតិនោះទេ។ យ៉ាងណាក៏ដោយ ហានិភ័យនៃការប្រតិបត្តិកូដពីចម្ងាយដែលមិនបានផ្ទៀងផ្ទាត់ធ្វើឱ្យការជួសជុលភ្លាមៗមានសារៈសំខាន់។

អ្នកគ្រប់គ្រងក៏គួរតែដាក់កម្រិតការចូលប្រើ TeamCity ទៅបណ្តាញដែលទុកចិត្ត ដាក់ឧទាហរណ៍ដែលប្រឈមមុខនឹងអ៊ីនធឺណិតនៅពីក្រោយ VPN ឬស្រទាប់គ្រប់គ្រងការចូលប្រើផ្សេងទៀត និងដំណើរការសេវាកម្ម TeamCity ដោយមានសិទ្ធិប្រព័ន្ធប្រតិបត្តិការតិចតួចបំផុត។ ការបង្ហោះម៉ាស៊ីនមេ TeamCity ដាច់ដោយឡែកពីភ្នាក់ងារសាងសង់អាចកាត់បន្ថយផលប៉ះពាល់នៃការសម្របសម្រួលដែលអាចកើតមានបន្ថែមទៀត។