TeamCity 2023.05.6 リリースノート
ビルド: 129475
2024 年 5 月 30 日
バグ
TW-87765 — サブプロジェクト管理者は親プロジェクトの NuGet フィードとアーティファクトストレージ設定を表示できません
TW-87750 — プロジェクト管理者のロールを持つユーザーは NuGet フィードを見ることができません
TW-86261 — 回帰: java.lang.InstantiationException: リクエストの処理中にスコープ内に bean bean が見つかりません
TW-83663 — REST API - 「failedToStart:true」のビルドは、「property:(name:XYZ)」と組み合わせると応答に表示されません。
TW-85625 — Perforce: 変更を収集するときに競合状態が発生する可能性があります
TW-85328(英語) — Perforce: チェックアウト中に問題が発生してもビルドは実行を継続します
TW-82564 — TeamCity REST API が同じビルド構成の別のビルドのアーティファクトを提供することがある
TW-84339 — UI から角括弧を使用してアーティファクトフォルダーを開けません
TW-84065 — PostgreSQL 接続の testOnBorrow と検証クエリをデフォルトで有効にする
TW-83312 — 空きディスク領域の段階でビルドが失敗する
TW-83829 — Python 実行可能ファイルは見つかりましたが、エージェントパラメーターに報告されませんでした
TW-83698 — perforce はすでに実行されているビルドに対するシェルブトリガーの起動
パフォーマンスの問題
TW-85640 — ビルド概要ページのリクエストから testOccurrence(count) を除外する
TW-85482(英語) — リビジョン計算が遅すぎる (CheckoutRulesRevWalk.collectUninterestingCommits に多くの時間を費やしました)
TW-84618 — Perforce の変更のチェックが非効率的 (ネストされた doGetPath2latestRevision 呼び出し)
セキュリティ
25 件のセキュリティ問題が修正されました。 まだサーバーを更新していないお客様を保護するため、通常、これらの修正に関する詳細は公開されません。 代わりに、各バグ修正リリースの数日後に セキュリティ速報を確認して詳細を確認することをお勧めします。
透明性を高めるため、また、新しいセキュリティ情報の公開が遅れる可能性があること (2022.04.6, 2022.10.5, 2023.05.5, 2023.11.5,, 2024.03.2 バグ修正アップデートの同時リリースによる) を考慮し、新しい修正とバックポートされた修正の両方の概要を提供することにしました。
バックポートされた修正
これらの課題は、新しいメジャー TeamCity バージョンで解決され、このバグ修正アップデートにバックポートされました。 詳細については、 セキュリティ速報を参照してください。
パストラバーサルにより、JAR アーカイブ内のデータを読み取ることが可能でした。 TianShu Dubhe チームの Sndav Bai と Crispr Xiang が報告しました (TW-86017)
バックアップからの復元中に XSS が保存される可能性がある (TW-82309)
認証バイパスにより管理者アクションを実行可能でした。 Rapid7 チームにより報告されました (TW-86500)
RCE につながる認証バイパスが可能でした。 TianShu Dubhe チームの Sndav Bai と Crispr Xiang が報告しました (TW-86005)
限定的な管理アクションを実行できるパストラバーサルが可能でした。 Rapid7 チームによって報告されました (TW-86502)
Maven ビルドステップディテクターで XXE が可能になりました (TW-86300)
自己登録が無効になっている場合、管理者権限を持たない認証済みユーザーが他のユーザーを登録できる (TW-87046)
サーバー管理者はツールをインストールすることでサーバーから任意のファイルを削除できる (TW-86039)
S3 Artifact Storage プラグインの署名済み URL 生成リクエストが不適切に承認されました (TW-85562)
エージェントディストリビューション設定により XSS が可能になった (TW-86535)
ログインページでオープンリダイレクトが可能でした (TW-87062)
Kotlin DSL ドキュメントでは限定的なディレクトリトラバーサルが可能でした (TW-85585)
ビルドログを表示中に保存された XSS が発生する可能性がある (TW-81777)
最近解決された課題
以下のセキュリティ課題に対する修正は、当社のセキュリティ速報ではすぐには公開されません: 新たに発見および修正された問題、TeamCity コードベース外のアップストリームライブラリの課題、以前に報告された脆弱性の特定のケース、その他。
これらの問題のほとんどに関する詳細は、公式リリースの数日後に セキュリティ速報で公開される予定です。
サーバーからファイルを読み取るためのパストラバーサルが可能
TeamCity サーバーは、ライフサイクルの特定の短い時点で承認なしにアクセスされる可能性がありました
コードインスペクションレポート内の複数の保存型 XSS
プルリクエストとコミットステータスパブリッシャービルド機能における不適切なアクセス制御
コミットステータスパブリッシャーに保存された XSS が可能
サードパーティエージェントがクラウドエージェントになりすます可能性がありました
特定のレポートのグループ化やフィルタリング操作によって XSS が実行される可能性がある
サードパーティのレポートによる保存型 XSS が可能
OAuth プロバイダー構成によるリフレクション XSS が可能
課題追跡ツールの統合による保存型 XSS が可能になった
OAuth 接続設定による保存型 XSS が可能
サブスクリプションページでリフレクション型 XSS が可能だった