TeamCity

Betroffen ist der Continuous-Integration-Server TeamCity von JetBrains, genauer das Protokoll, über das die Build-Agenten regelmäßig beim Server nachfragen (Agent-Polling). Dabei verarbeitet der Server Daten, die er zuvor nicht ausreichend als vertrauenswürdig geprüft hat, und wandelt sie in Objekte zurück – eine unsichere Deserialisierung. Ein Angreifer kann speziell präparierte Daten an diese Schnittstelle senden und dadurch eigenen Programmcode auf dem Server ausführen. Eine Anmeldung ist dafür nicht erforderlich, der Angriff funktioniert aus der Ferne über das Netzwerk. Da ein Build-Server Quellcode, Zugangsdaten für Repositories und Deployment-Ziele sowie Signaturschlüssel verwaltet, bedeutet seine Übernahme nicht nur den Verlust dieses einen Systems: Angreifer können Build-Ergebnisse manipulieren und so auch nachgelagerte Software und deren Nutzer kompromittieren – ein klassischer Angriff auf die Software-Lieferkette.