TeamCity 2023.11.5 リリースノート
ビルド 147631、2024年 5月 29日
バグ
TW-87765 — サブプロジェクト管理者は親プロジェクトの NuGet フィードとアーティファクトストレージ設定を表示できません
TW-87750 — プロジェクト管理者のロールを持つユーザーは NuGet フィードを見ることができません
TW-82293 — 権限のないユーザーが存在しないページを開いたときにログに「bean currentUser が範囲内に見つかりません」というエラーが表示される
セキュリティ
10 件のセキュリティ問題が修正されました。 まだサーバーを更新していないお客様を保護するため、通常、これらの修正に関する詳細は公開されません。 代わりに、各バグ修正リリースの数日後に セキュリティ速報を確認して詳細を確認することをお勧めします。
透明性を高めるため、また、新しいセキュリティ情報の公開が遅れる可能性があること (2022.04.6, 2022.10.5, 2023.05.5, 2023.11.5,, 2024.03.2 バグ修正アップデートの同時リリースによる) を考慮し、新しい修正とバックポートされた修正の両方の概要を提供することにしました。
バックポートされた修正
これらの課題は、新しいメジャー TeamCity バージョンで解決され、このバグ修正アップデートにバックポートされました。 詳細については、 セキュリティ速報を参照してください。
Maven ビルドステップディテクターで XXE が可能になりました (TW-86300)
自己登録が無効になっている場合、管理者権限を持たない認証済みユーザーが他のユーザーを登録できる (TW-87046)
サーバー管理者はツールをインストールすることでサーバーから任意のファイルを削除できる (TW-86039)
エージェントディストリビューション設定により XSS が可能になった (TW-86535)
スペース接続構成によりリフレクション型 XSS が可能になった (TW-86832)
ログインページでオープンリダイレクトが可能でした (TW-87062)
特別な URL パラメーターを提供することで 2FA を回避できる (TW-86989)
最近解決された課題
以下のセキュリティ課題に対する修正は、当社のセキュリティ速報ではすぐには公開されません: 新たに発見および修正された問題、TeamCity コードベース外のアップストリームライブラリの課題、以前に報告された脆弱性の特定のケース、その他。
これらの問題のほとんどに関する詳細は、公式リリースの数日後に セキュリティ速報で公開される予定です。
サーバーからファイルを読み取るためのパストラバーサルが可能
TeamCity サーバーは、ライフサイクルの特定の短い時点で承認なしにアクセスされる可能性がありました
サードパーティエージェントがクラウドエージェントになりすます可能性がありました