Вследствие обнаружения в октябре 2026 года уязвимости безопасности, связанной со слабостью закрытых ключей восьми промежуточных удостоверяющих центров (Intermediate CAs), принадлежащих компании eMudhra, компания JetBrains выпустила срочные технические рекомендации для пользователей платформы TeamCity с целью обеспечения безопасности их сред разработки и эксплуатации.
Что произошло?
Было установлено, что закрытые ключи восьми удостоверяющих центров eMudhra были слабыми и могли быть восстановлены по публичным данным. Несмотря на заверения eMudhra в отсутствии доказательств эксплуатации этой уязвимости до ее раскрытия, риск заключается в том, что программные компоненты, зависящие от хранилищ доверенных сертификатов (Trust Stores) — такие как среда выполнения Java — могут продолжать доверять сертификатам, выданным этими скомпрометированными центрами.
Что меняется на практике для пользователей?
JetBrains подчеркивает, что уязвимость заключается не в самой платформе TeamCity, а затрагивает инфраструктуру, от которой она зависит. В связи с этим команды DevOps должны предпринять следующие шаги:
- Обновление среды выполнения Java (JRE): Необходимо обновить среды Java, используемые на серверах TeamCity и агентах сборки (Build Agents), до версий, в которых устранены уязвимости CVE-2026-91403 и CVE-2026-114820.
- Обновление TeamCity: Рекомендуется выполнить обновление до версий 2026.2.2 или 2026.1.6, которые включают отчеты о состоянии (Health Reports), автоматически обнаруживающие наличие затронутых сертификатов в системе.
- Проверка загруженных сертификатов: Обновление Java не удаляет сертификаты, которые пользователи вручную загрузили в TeamCity; поэтому необходимо проверить и удалить любые затронутые сертификаты через интерфейс управления сертификатами в корневом проекте (Root Project).
- Обновление инструментов CLI: Необходимо обновить TeamCity CLI до версии 1.6.1 или новее, так как он был пересохранен с использованием версии Go, содержащей необходимые исправления безопасности.
Почему эта новость важна?
Данный инцидент служит напоминанием о важности управления цепочками доверия в средах CI/CD. Поскольку TeamCity служит центром операций разработки, любая уязвимость в доверенных сертификатах может открыть путь для атак с подменой личных данных или перехватом трафика. Обновления, предоставляемые JetBrains, — это не просто программные улучшения, а необходимые превентивные меры для предотвращения эксплуатации слабых сертификатов в производственных средах.
Системным администраторам также следует проверить вспомогательную инфраструктуру, включая операционные системы, инструменты сборки, такие как Git и Python, а также контейнеры (Docker), чтобы гарантировать, что они не полагаются на хранилища доверия, содержащие скомпрометированные сертификаты.