Nach der Entdeckung einer Sicherheitslücke im Oktober 2026, die schwache private Schlüssel von acht intermediären Zertifizierungsstellen (Intermediate CAs) von eMudhra betrifft, hat JetBrains dringende technische Richtlinien für Benutzer der Plattform TeamCity herausgegeben, um die Sicherheit ihrer Entwicklungs- und Betriebsumgebungen zu gewährleisten.
Was ist passiert?
Es wurde festgestellt, dass die privaten Schlüssel von acht eMudhra-Zertifizierungsstellen schwach und aus öffentlichen Daten rekonstruierbar waren. Obwohl eMudhra bestätigte, dass es vor der Offenlegung keine Beweise für eine Ausnutzung dieser Schwachstelle gab, besteht die Gefahr darin, dass Softwarekomponenten, die auf Vertrauensspeicher (Trust Stores) angewiesen sind – wie etwa die Java- Laufzeitumgebung –, weiterhin Zertifikaten vertrauen könnten, die von diesen kompromittierten Stellen ausgestellt wurden.
Was ändert sich praktisch für die Benutzer?
JetBrains betont, dass sich die Schwachstelle nicht in der TeamCity-Plattform selbst befindet, sondern die Infrastruktur betrifft, auf die sie angewiesen ist. Daher müssen DevOps-Teams die folgenden Schritte unternehmen:
- Aktualisierung der Java-Laufzeitumgebung (JRE): Die in TeamCity-Servern und Build-Agenten verwendeten Java-Umgebungen müssen auf Versionen aktualisiert werden, die die Schwachstellen CVE-2026-91403 und CVE-2026-114820 beheben.
- TeamCity aktualisieren: Es wird empfohlen, auf die Versionen 2026.2.2 oder 2026.1.6 zu aktualisieren, die Integritätsberichte (Health Reports) enthalten, welche das Vorhandensein betroffener Zertifikate im System automatisch erkennen.
- Überprüfung hochgeladener Zertifikate: Die Aktualisierung von Java entfernt keine Zertifikate, die Benutzer manuell in TeamCity hochgeladen haben. Daher müssen diese überprüft und betroffene Zertifikate über die Zertifikatsverwaltungsschnittstelle im Wurzelprojekt (Root Project) entfernt werden.
- Aktualisierung der CLI-Tools: Die TeamCity CLI muss auf Version 1.6.1 oder neuer aktualisiert werden, da sie mit einer Go-Version neu erstellt wurde, die die erforderlichen Sicherheitskorrekturen enthält.
Warum ist diese Nachricht wichtig?
Dieser Vorfall ist eine Erinnerung an die Bedeutung der Verwaltung von Vertrauensketten in CI/CD-Umgebungen. Da TeamCity als Hub für Entwicklungsabläufe dient, könnte jede Schwachstelle in vertrauenswürdigen Zertifikaten Tür und Tor für Identitätsdiebstahl oder Angriffe durch Datenabfang öffnen. Die von JetBrains bereitgestellten Updates sind nicht nur Softwareverbesserungen, sondern notwendige präventive Maßnahmen, um die Ausnutzung schwacher Zertifikate in Produktionsumgebungen zu verhindern.
Systemadministratoren müssen auch die unterstützende Infrastruktur überprüfen, einschließlich Betriebssysteme, Build-Tools wie Git und Python sowie Container (Docker), um sicherzustellen, dass sie sich nicht auf Vertrauensspeicher verlassen, die die kompromittierten Zertifikate enthalten.