À la suite de la découverte en octobre 2026 d'une faille de sécurité concernant la faiblesse des clés de chiffrement de huit autorités de certification intermédiaires rattachées à eMudhra, la société JetBrains a publié des directives techniques urgentes pour les utilisateurs de la plateforme TeamCity afin de garantir la sécurité de leurs environnements de développement et d'exploitation.
Que s'est-il passé ?
Il a été déterminé que les clés privées de huit autorités de certification d'eMudhra étaient faibles et récupérables à partir de données publiques. Bien qu'eMudhra ait affirmé qu'il n'existait aucune preuve d'exploitation de cette vulnérabilité avant sa divulgation, le risque réside dans le fait que les composants logiciels s'appuyant sur des magasins de confiance, tels que l'environnement d'exécution Java, peuvent continuer à faire confiance aux certificats émis par ces autorités compromises.
Qu'est-ce qui change concrètement pour les utilisateurs ?
JetBrains souligne que la vulnérabilité ne réside pas dans la plateforme TeamCity elle-même, mais qu'elle affecte l'infrastructure dont elle dépend. Par conséquent, les équipes DevOps doivent prendre les mesures suivantes :
- Mettre à jour l'environnement d'exécution Java (JRE) : Les environnements Java utilisés sur les serveurs TeamCity et les agents de build doivent être mis vers des versions qui corrigent les vulnérabilités CVE-2026-91403 et CVE-2026-114820.
- Mettre à jour TeamCity : Il est conseillé de passer aux versions 2026.2.2 ou 2026.1.6, qui incluent des rapports de santé détectant automatiquement la présence de certificats affectés dans le système.
- Examiner les certificats importés : La mise à jour de Java ne supprime pas les certificats que les utilisateurs ont importés manuellement dans TeamCity ; il faut donc les inspecter et supprimer tout certificat concerné via l'interface de gestion des certificats du projet racine.
- Mettre à jour les outils CLI : TeamCity CLI doit être mis à jour vers la version 1.6.1 ou une version ultérieure, car il a été reconstruit à l'aide d'une version de Go incluant les correctifs de sécurité nécessaires.
Pourquoi cette nouvelle est-elle importante ?
Cet incident rappelle l'importance de la gestion des chaînes de confiance dans les environnements CI/CD. Étant donné que TeamCity sert de plaque tournante pour les opérations de développement, toute faille dans les certificats de confiance pourrait ouvrir la porte à des attaques par usurpation d'identité ou par interception de données. Les mises à jour fournies par JetBrains ne sont pas de simples améliorations logicielles, mais des mesures préventives indispensables pour empêcher l'exploitation de certificats faibles dans les environnements de production.
Les administrateurs système doivent également examiner l'infrastructure de support, y compris les systèmes d'exploitation, les outils de build tels que Git et Python, ainsi que les conteneurs (Docker), afin de s'assurer qu'ils ne reposent pas sur des magasins de confiance contenant les certificats compromis.