CVE-2025-68163：JetBrains TeamCity 中的 CWE-79 漏洞
严重性：低 类型：漏洞
CVE-2025-68163
在 2025.11 版本之前的 JetBrains TeamCity 中，agentpushInstall 页面存在存储型 XSS 漏洞。
AI 分析
技术摘要
CVE-2025-68163 是在 JetBrains TeamCity（一款流行的持续集成和部署服务器）中发现的存储型跨站脚本（XSS）漏洞，影响 2025.11 之前的版本。该漏洞存在于 agentpushInstall 页面，恶意输入可以被存储，并在其他用户查看该页面时执行。此类漏洞归类于 CWE-79，表明输入净化不当导致脚本注入。
利用此漏洞需要具有高权限的认证用户注入恶意 JavaScript 代码，该代码随后被持久化存储。当其他用户访问受影响的页面时，恶意脚本会在其浏览器中执行，可能允许攻击者窃取会话令牌、以用户身份执行操作或在应用程序上下文中进行钓鱼攻击。其 CVSS 3.1 基础评分为 3.5，反映了由于需要认证、用户交互以及对机密性和完整性影响有限而导致的低严重性。
目前尚未有已知的在野利用报告，发布时也未链接官方补丁。该漏洞凸显了 Web 应用程序，尤其是管理界面中，正确输入验证和输出编码的重要性。考虑到 TeamCity 在软件开发管道中的作用，如果攻击者利用 XSS 提升权限或在组织基础设施内横向移动，则可能导致进一步的危害。
潜在影响
对欧洲组织而言，CVE-2025-68163 的影响主要与 TeamCity 环境的机密性和完整性相关。成功利用可能允许攻击者劫持用户会话或在 TeamCity 服务器内执行未经授权的操作，从而可能扰乱软件构建和部署流程。虽然该漏洞不直接影响可用性，但受损的构建管道可能间接影响运营连续性。
严重依赖 TeamCity 进行持续集成和部署的组织，如果攻击者在初始 XSS 利用后提升权限，可能面临知识产权暴露或在软件构建中插入恶意代码的风险。利用该漏洞需要经过认证的高权限用户，这限制了攻击面，但并未消除风险，尤其是在拥有众多特权用户或内部管控薄弱的环境中。此外，XSS 的存储性质增加了长期影响多个用户的持久性攻击的风险。对数据保护和软件完整性有严格监管要求的欧洲实体必须解决此漏洞，以保持合规性并保护开发环境。
缓解建议
- 一旦补丁可用，立即将 TeamCity 升级到 2025.11 或更高版本，以消除该漏洞。
- 在可能进行修补之前，使用网络分段和访问控制列表，将
agentpushInstall页面的访问权限限制在最少必需的高权限用户。 - 在 TeamCity 内所有用户提供数据的字段上，特别是与
agentpushInstall页面相关的字段，实施严格的输入验证和输出编码，以防止脚本注入。 - 部署内容安全策略（CSP）标头，以限制 TeamCity Web 界面中未经授权脚本的执行。
- 为特权用户定期进行安全培训，以识别可能利用 XSS 漏洞的钓鱼和社会工程尝试。
- 监控 TeamCity 日志和用户活动，查找可能指示利用尝试的异常行为。
- 考虑使用具有自定义规则的 Web 应用防火墙（WAF）来检测和阻止针对 TeamCity 的 XSS 有效负载。
- 审查并加强身份验证和会话管理控制，以减少潜在会话劫持的影响。
受影响国家
德国、法国、英国、荷兰、瑞典、芬兰
技术详情
数据版本： 5.2 分配者短名称： JetBrains 发布日期： 2025-12-16T11:54:39.279Z Cvss 版本： 3.1 状态： PUBLISHED
威胁 ID： 69417c3609f61faec595077a 添加到数据库时间： 2025年12月16日 下午3:35:18 最后丰富时间： 2025年12月16日 下午3:43:05 最后更新时间： 2025年12月17日 上午1:38:32 浏览量： 5
来源： CVE 数据库 V5 发布日期： 2025年12月16日，星期二