Today I learned some of my team has been using deploy scripts in #TeamCity to rewrite code for test sites and special builds.
I cannot stress enough how bad of a habit this is. If you are redirecting code, it should be done via configuration file changes not find/replace powershell scripts run on the codebase. This should be treated as dangerous since it could be used to circumvent security reviews if it happened on the production configuration.
#BSI WID-SEC-2025-1110: [NEU] [mittel] #JetBrains #TeamCity: Mehrere Schwachstellen
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen oder Informationen auszuspähen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-1110
TeamCity Pipelines Pulse: Enhanced Notification Options
What’s New in TeamCity 2025.03: Recipes, Improved Docker and Podman Integration, UI Updates, and More
#BSI WID-SEC-2025-0317: [NEU] [mittel] #JetBrains #TeamCity: Mehrere Schwachstellen
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um Informationen offenzulegen, oder ein Cross-Site-Scripting durchzuführen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-0317
#BSI WID-SEC-2025-0159: [NEU] [mittel] #JetBrains #TeamCity: Mehrere Schwachstellen
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen, Informationen auszuspähen oder Sicherheitsvorkehrungen zu umgehen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-0159
#BSI WID-SEC-2024-3102: [NEU] [hoch] #JetBrains #TeamCity: Mehrere Schwachstellen
Ein Angreifer kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um Dateien zu manipulieren, vertrauliche Informationen offenzulegen oder einen Cross-Site-Scripting-Angriff durchzuführen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-3102
...superior experience, adopting JetBrains' #TeamCity.
Personally, I prefer to treat build and deployment scripts as part of the codebase and use a programming language I'm comfortable with. In the past, I’ve used #PSake and #PowerShell, but these days, #Nuke and #CSharp are my go-to tools. This setup provides access to the navigation, refactoring, and #debugging capabilities I’m used to, and it allows me to test the entire pipeline from my local development environment.
Introducing our #GameDevDays2024 speakers and talks:
📺 Turbocharge Your #UnrealEngine Game Development with #JetBrainsRider and #TeamCity
🗣 Daniel Gallo and @citizenmatt
📅 October 10, Thu, 9.50am UTC
#BSI WID-SEC-2024-1873: [NEU] [mittel] #JetBrains #TeamCity: Mehrere Schwachstellen ermöglichen Cross-Site Scripting
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-1873
Наш опыт эксплуатации Airflow в Kubernetes
Apache Airflow — это один из самых популярных ETL-шедулеров. ETL-процессы — это когда мы выбираем интересующие нас данные, приводим их к агрегированному виду и сохраняем для дальнейшего использования. И это присутствует везде, где есть необходимость анализа данных. Соответственно, Airflow предназначен для того, чтобы запускать пайплайны обработки данных.
#BSI WID-SEC-2024-1780: [NEU] [mittel] #JetBrains #TeamCity: Schwachstelle ermöglicht Privilegieneskalation
Ein lokaler Angreifer kann eine Schwachstelle in JetBrains TeamCity ausnutzen, um seine Privilegien zu erhöhen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-1780
#BSI WID-SEC-2024-1685: [NEU] [mittel] #JetBrains #TeamCity: Mehrere Schwachstellen
Ein entfernter authentisierter oder anonymer Angreifer, oder ein Angreifer aus einem angrenzenden Netzwerk kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um Informationen offenzulegen, einen Cross-Site-Scripting-Angriff zu starten, die Autorisierung zu umgehen und einen Denial-of-Service-Zustand zu erzeugen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-1685
Always craving to look for stories in GameDev CI/CD and this one from EVE Online has been super cool.
Fresh build in 2-3 hours sounds pretty decent and their build graph looks like pure insanity.
Also sounded like their automated tests were pretty fat. Would love to get scoops into their deployment and testing flow.
#BSI WID-SEC-2024-1503: [NEU] [mittel] #JetBrains #TeamCity: Mehrere Schwachstellen ermöglichen Offenlegung von Informationen
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in JetBrains TeamCity ausnutzen, um Informationen offenzulegen.
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-1503
Does UBT put the timestamp or changelist of a build anywhere?
Is there any way to get the current version of a Shipping build? A console command maybe?
And if not, what's the easiest/fastest way to do so with #Teamcity?
Трендовые уязвимости марта: обновляйтесь и импортозамещайтесь
Хабр, привет! Я Александр Леонов, и мы с командой аналитиков Positive Technologies каждый месяц изучаем информацию о недостатках безопасности из баз, бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и определяем трендовые уязвимости. То есть те, которые либо уже эксплуатируются вживую, либо могут начать эксплуатироваться в ближайшее время. Сегодня расскажу про самые опасные в марте — всего их было пять. Какие уязвимости были в тренде в марте
https://habr.com/ru/companies/pt/articles/806519/
#vulnerability_management #cve #трендовые_уязвимости #удаленное_выполнение_кода #повышение_привилегий #внедрение_sqlкода #teamcity #microsoft #ядро_windows #forticlient_ems
Zero Day Initiative security advisory reveals additional information on CVE-2024-31138 (4.6 medium, CVSSv3.1:AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N) 🔗 https://www.zerodayinitiative.com/advisories/ZDI-24-360/
This vulnerability allows remote attackers to execute arbitrary script on affected installations of JetBrains TeamCity. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.
The specific flaw exists within the handling of the os parameter provided to the AgentDistributionSettingsController.doPost method. The issue results from the lack of proper validation of user-supplied data, which can lead to the injection of arbitrary script. An attacker can leverage this vulnerability to execute script in the context of the current user.
JetBrains Security Bulletin only shows 7 vulnerabilities out of "26 security problems fixed": 🔗 https://www.jetbrains.com/privacy-security/issues-fixed/?product=TeamCity&version=2024.03
cc: @campuscodi
