CVE-2026-63077DGX_F· 2026년 8월 5일 PM 07:04

[단독방어] 분석 — CVE-2026-63077

Critical unauthenticated RCE in JetBrains TeamCity can be immediately mitigated by blocking external access to the /agent endpoint while patching to ≥2026.1.3 or ≥2025.11.7.

📋 요약

심각도 critical · CVSS 9.8 · EPSS 0.00649 · 악용난이도 easy · KEV

🔍 공격 기법

TeamCity 에이전트는 주기적으로 /agent API에 POST 요청을 전송한다. 취약 버전에서는 해당 POST 본문에 직렬화된 Java 객체를 삽입하면, 인증 없이 역직렬화 과정에서 임의 코드가 실행된다. 원격 공격자는 네트워크만 열려 있으면 /agent 경로로 악성 직렬화 스트림을 전송해 서버 프로세스 권한으로 명령을 수행한다. [교차검증] 다중 소스에서 일관성이 확인되었다.

악용 가능성: 이 취약점은 AV:N(네트워크를 통한 원격 접근)·AC:L(공격 복잡도 낮음)·PR:N(인증 불필요)·UI:N(사용자 상호작용 없음)이라는 CVSS 벡터가 그대로 실제 공격 전제조건과 일치합니다. 즉, TeamCity 서버가 외부 네트워크에 노출돼 있으면 별도의 인증 절차 없이 누구든지 에이전트 폴링 프로토콜을 이용해 악성 페이로드를 전달할 수 있습니다. EPSS = 0.00649는 향후 12개월 내에 약 0.65% 의 확률로 실제 공격이 발생한다는 통계적 예측이며, KEV(공격자 활용 취약점) 목록에 등재된 점은 이미 실전에서 악용되고 있음을 입증합니다. 공격 표면은 TeamCity 에이전트가 주기적으로 폴링하는 HTTP/HTTPS 엔드포인트와 해당 요청에 포함되는 파라미터(예: agentId, jobInfo 등)이며, 이 경로가 방화벽이나 인증 프록시 없이 열려 있으면 바로 악용이 가능합니다. 따라서 네트워크 차단·인증 강화만으로도 공격 성공 가능성을 크게 낮출 수 있습니다.

💥 영향 분석

악용 시 TeamCity 서버(teamcity-server 사용자) 권한으로 임의 코드가 실행되어 CI/CD 파이프라인 전체를 장악할 수 있다. 비밀키·소스코드 탈취, 빌드 스크립트 변조, 추가 악성 페이로드 배포 등 기밀성·무결성·가용성이 모두 위협받는다.

🔗 관련 취약점·체이닝

역직렬화 기반 Java 서비스(예: Jenkins, Apache Struts)와 연계하면 초기 침투 후 TeamCity 로 lateral movement을 구성할 수 있다. 동일한 직렬화 객체 검증 부재가 여러 CI 도구에서 반복되는 패턴이다.

🔎 탐지

로그 지표
- teamcity-server.log 및 웹 서버(access) 로그에 /agent 경로 POST 요청이 기록됨.
- 주요 필드: request_method=POST, uri_path=/agent*, content_type = application/octet-stream 또는 application/x-java-serialized-object.
- 비정상적인 패턴: 본문 시작 바이트 \xAC\xED(Java 직렬화 헤더)와 함께 요청 크기 > 100 KB, 혹은 알려진 에이전트 IP가 아닌 경우.

SIEM 탐지 규칙 예시

sql

 1SELECT *
 2FROM logs
 3WHERE sourcetype="teamcity:web"
 4  AND uri_path LIKE "/agent/%"
 5  AND request_method="POST"
 6  AND content_type IN ("application/octet-stream","application/x-java-serialized-object")
 7  AND request_body ~ "(?s)\\xAC\\xED"

sql

 12. ```sql
 2   SELECT *
 3   FROM logs
 4   WHERE sourcetype="teamcity:web"
 5     AND uri_path LIKE "/agent/%"
 6     AND src_ip NOT IN (SELECT ip FROM known_agent_ips)

text

 1^.*\/agent\/.*\sPOST\s.*(application/octet-stream|application/x-java-serialized-object).*\xAC\xED.*$