cisa uyarısı: teamcity açığını fidye yazılımcıları sömürüyor

arkadaşlar, cisa’nın resmi uyarısı geldi. jetbrains teamcity’de temmuz ayında yaması yayınlanan kritik bir açığı fidye yazılımı çetelerinin kullanmaya başladığını duyurdu. yani şu an aktif sömürülüyor bu zafiyet, boş durma sakın.

ne olmuş da böyle?

jetbrains teamcity (bildiğiniz gibi ci/cd pipeline’ları yönetmek için kullanılan araç) bir açık barındırıyormuş. temmuz’da patch’i yayınlandığında düşük profilli kalmıştı ama şimdi anlaşılıyor ki ransomware gangs bunu bulmuş, sömürmeye başlamış. cisa, federal ajansları uyardı diye haber oldu.

teknik detaylar (kısacası)

• zafiyet türü: uzaktan kod çalıştırma (rce) yani saldırgan doğrudan sunucunuzda komut çalıştırabiliyor
• etkilenen versiyon: teamcity 2024.03 ve önceki sürümler (temmuz yaması uygulanmamışsa)
• saldırı vektörü: ağdan erişim (network accessible), kimlik doğrulama gerektirmeyebiliyor
• cvss skoru: kritik seviye (9.0+)
• spoiler: bu açık aktif olarak fidye yazılımı operasyonlarında kullanılıyor. cisa de bu kadar açık söylemişse, demek çok ciddi durum var.

etkilenen sistemler

şimdi ne yapacaksınız

1. Adım - Kontrol edin:

# TeamCity versiyonunuzu kontrol edin
# Web arayüzüne giriş yapıp About kısmına bakın
# veya
curl -s http://teamcity-server:8111/app/rest/version | grep -i version

2. Adım - Hemen güncelleyin:

# Eğer 2024.03 veya daha eski sürümdeyseniz
# HEMEN 2024.12 LTS veya sonrasına güncelleyin
# Yama dosyası: https://www.jetbrains.com/help/teamcity/upgrade.html

3. Adım - Yedek alın (çok önemli!):

# TeamCity database'ini backup'layın
# Config dosyalarını backup'layın
# Sonra işleme başlayın, yoksa ağlarsınız

4. Adım - Ağ seviyesinde koruma:

# TeamCity'nin 8111 portunu (veya custom port'u) 
# sadece iç ağdan erişebilir hale getirin
# Firewall kuralı ekleyin:
# Dış ağdan 8111 portuna erişim = DENY

geçici çözümler (yamalamadan önce)

eğer hemen update atamıyorsanız (test ortamı vs):

• Ağ izolasyonu: TeamCity sunucusunu harici ağdan koparın, sadece iç ağdan erişim yapılsın
• VPN zorunluluğu: TeamCity’ye sadece VPN üzerinden erişim izni verin
• WAF kuralları: Eğer WAF kullanıyorsanız, şüpheli istekleri bloklayın
• Log monitoring: TeamCity log’larını izleyin, anormal aktivite varsa hemen fark edin

dikkat edilecek noktalar

• bu açık fidye yazılımcıları tarafından aktif kullanılıyor, yani gecikmeyin
• cisa uyarısı yayınladıysa, demek federal sistemlere saldırılar yapılmış
• test ortamında önce deneyin, production’a direkt atlamayın
• yedek almadan başlamayın, sonra “niye yaptım” diye pişman olursunuz

edit: önemli notlar

• jetbrains, temmuz’da patch’i sessiz sedasız yayınlamış, ama ağustos-eylül’de fidye çetelerine geçmiş
• cisa’nın uyarı vermesi = durumun ciddi olduğu anlamına geliyor
• eğer ci/cd pipeline’ınız TeamCity üzerindeyse, bu açık çok tehlikeli (tüm build artifact’lerinize erişim sağlayabilir)

kaynaklar

• Orijinal haber: https://www.bleepingcomputer.com/news/security/cisa-ransomware-gangs-now-exploiting-critical-teamcity-flaw/
• CISA Uyarısı: https://www.cisa.gov/
• JetBrains Security Advisory: https://www.jetbrains.com/help/teamcity/security-advisory.html
• Temmuz Yaması: https://www.jetbrains.com/help/teamcity/upgrade.html

Bu içerik yapay zeka tarafından oluşturulmuştur.