Exploit for Authentication Bypass Using an Alternate Path or Channel in Jetbrains Teamcity CVE-2024-27198

## https://sploitus.com/exploit?id=F9BCBF97-222B-5277-983B-EE47DF079EB7
# Research: TeamCity Authentication Bypass (CVE-2024-27198) Simulation

![Security Research](https://img.shields.io/badge/Research-Security-red) ![TeamCity](https://img.shields.io/badge/TeamCity-CI/CD-blue) ![CVE](https://img.shields.io/badge/CVE--2024--27198-Critical-orange)

## 프로젝트 소개 (Project Overview)

본 프로젝트는 **JetBrains TeamCity**에서 발견된 심각한 인증 우회 취약점인 **CVE-2024-27198**을 연구하고 시연하기 위해 구축된 **연구용 PoC(Proof of Concept) 환경**입니다.

이 취약점은 TeamCity 서버의 웹 구성 요소에서 발생하는 로직 오류를 이용하여, 공격자가 인증 없이 관리자 기능을 수행하는 REST API 엔드포인트에 접근할 수 있게 합니다. 본 환경에서는 실제 취약한 버전의 TeamCity 서버를 Docker 시스템으로 구축하여, **인증 우회**부터 **관리자 계정 탈취**, 그리고 **악성 플러그인을 통한 RCE(원격 코드 실행)**까지의 전체 공격 체인을 시뮬레이션합니다.

### 연구 목표
1. **Authentication Bypass** 취약점의 근본 원인(Path Traversal/Logic Error) 분석
2. REST API를 통한 권한 상승(Privilege Escalation) 과정 이해
3. CI/CD 서버 장악이 공급망 공격(Supply Chain Attack)에 미치는 영향 분석

---

## 기술 스택 (Tech Stack)

| 구분 | 스택 | 버전 | 비고 |
| :--- | :--- | :--- | :--- |
| **Application** | TeamCity Server | `2023.11.3` | **Vulnerable Version** |
| **Database** | HSQLDB | (Internal) | Data Storage |
| **Infrastructure** | Docker / Compose | - | Container Environment |
| **Exploit** | REST API / JSP | - | **Attack Vector** |

---

## 취약점 분석 보고서 (Vulnerability Report)

본 프로젝트에서 분석한 핵심 취약점은 다음과 같습니다.

### 1. Authentication Bypass via URL Manipulation
*   **CVE-2024-27198**
*   **설명**: 특정 URL 패턴(예: `/hax?jsp=/app/rest/users;.jsp`)을 사용하여 인증 필터를 우회할 수 있습니다. 이는 서버가 요청 경로를 처리할 때 사용하는 라이브러리와 TeamCity 내부 로직 사이의 불일치로 인해 발생합니다.
*   **위험도**: **Critical (Full System Access)**

### 2. RCE via Malicious Plugin Upload
*   **Methodology**
*   **설명**: 획득한 관리자 권한을 이용하여 악성 JSP 코드가 포함된 플러그인을 업로드합니다. TeamCity는 플러그인을 로드할 때 포함된 리소스를 웹 경로에 노출시키므로, 이를 통해 웹쉘(WebShell) 실행이 가능합니다.
*   **Payload 예시**: `curl -X POST -u "attacker:pass" -F "file=@malicious-plugin.zip" ...`

---

## 실행 및 검증 (How to Reproduce)

연구 및 검증을 위해 격리된 로컬 환경에서 실행하는 것을 권장합니다.

```bash
# 1. TeamCity 서버 실행
docker-compose up -d
```

1.  **Exploit Steps**:
    *   **Step 1**: `/hax?jsp=/app/rest/users;.jsp` 경로를 통해 관리자 계정 생성 (Auth Bypass).
    *   **Step 2**: 생성된 계정으로 로그인 후 악성 플러그인 업로드.
    *   **Step 3**: `/plugins/MaliciousWebShell/shell.jsp?cmd=id` 접속 (RCE 성공).

자세한 순서와 스크린샷은 [TESTING.md](TESTING.md) 파일을 참조하십시오.

---

## 대응 방안 (Mitigation)

*   **즉시 업데이트**: JetBrains에서 제공하는 보안 패치가 적용된 버전(`2023.11.4` 이상)으로 즉시 업데이트합니다.
*   **네트워크 격리**: 관리자 인터페이스를 공용 인터넷에 노출하지 않고, VPN이나 신뢰할 수 있는 IP 대역으로 제한합니다.
*   **정기적 감사**: 인가되지 않은 관리자 계정 생성이나 플러그인 설치 여부를 주기적으로 모니터링합니다.

---