JetBrains TeamCity, una plataforma de integración y despliegue continuo (CI/CD), presenta una vulnerabilidad de recorrido de ruta relativa (CWE-23) identificada como CVE-2024-27199. Esta falla permite a un atacante autenticado con privilegios limitados manipular rutas relativas en solicitudes HTTP para acceder a recursos fuera del directorio previsto, como archivos de configuración o scripts administrativos. El exploit involucra la inyección de secuencias como '../' en parámetros de path, potencialmente permitiendo la ejecución de acciones administrativas restringidas sin autorización completa. El impacto potencial incluye escalada de privilegios, exposición de datos sensibles o disrupción de procesos de build, facilitando ataques posteriores como inyección de código o persistencia en entornos de desarrollo.
Alerta de Seguridad: Vulnerabilidad de Recorrido de Ruta Relativa en JetBrains TeamCity (CVE-2024-27199)
// resumen_ejecutivo
La vulnerabilidad CVE-2024-27199 en JetBrains TeamCity permite recorrido de ruta relativa (CWE-23), habilitando acciones administrativas limitadas. Severidad alta (CVSS 7.3). Recomendación: aplicar mitigaciones del vendor y seguir BOD 22-01. Fecha límite FCEB: 2026-05-04.
// descripcion_detallada
// vectores_de_ataque
Ataque de recorrido de ruta relativa (path traversal) vía solicitudes HTTP autenticadas, permitiendo acciones administrativas limitadas; no RCE directo, pero potencial para escalada de privilegios (LPE) o acceso no autorizado a recursos sensibles.
// indicadores_de_compromiso 1 tipo
CVEs (1)
CVE-2024-27199
// recomendaciones_de_mitigacion
- Aplicar mitigaciones según las instrucciones del vendor en https://www.jetbrains.com/privacy-security/issues-fixed/, incluyendo actualizaciones a versiones parcheadas (consultar advisory para versiones afectadas como TeamCity antes de 2024.03.4).
- Seguir directrices BOD 22-01 para servicios en la nube, implementando controles de acceso estrictos y segmentación de red.
- Si no se disponen mitigaciones, discontinuar el uso del producto y monitorear logs para detección de exploits.
- Realizar auditorías de configuraciones y restringir accesos administrativos innecesarios.