JetBrains TeamCity 에이전트 폴링 프로토콜 미인증 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-63077)

영향받는 벤더 / 생태계

jetbrains

대상 컴포넌트 / 패키지

teamcity

권고문 발행일

2026-07-27

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

JetBrains TeamCity 2026.1.3 미만 및 2025.11.7 미만 버전

파급 효과

인증되지 않은 원격 공격자가 에이전트 폴링 프로토콜을 통해 서버에서 임의의 코드를 실행하고 시스템을 완전히 장악할 수 있습니다

권장 조치

즉시 TeamCity 서버를 최신 패치 버전(2026.1.3 또는 2025.11.7 이상)으로 업데이트하십시오

영향받는 제품 및 버전 범위

JetBrains TeamCity 2026.1.3 미만 버전 및 2025.11.7 미만 버전

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

해결 방안 및 조치 가이드

1. 공식 보안 패치 적용 (최우선 권장)

JetBrains 공식 업데이트를 다운로드하여 취약점이 해결된 버전으로 즉시 업그레이드하십시오.

대상 버전: 2026.1.3 이상 또는 2025.11.7 이상

2. 임시 완화 조치 (즉시 패치가 불가능한 경우)

패치 적용 전까지 외부로부터의 위협을 최소화하기 위해 아래 조치를 적용하십시오.

네트워크 접근 제어 (ACL)

TeamCity 서버의 에이전트 통신 포트(기본 웹 포트 또는 별도 설정된 양방향 통신 포트)에 대해 신뢰할 수 있는 빌드 에이전트의 IP 대역만 접근할 수 있도록 방화벽 규칙을 설정하십시오.

bash

  # iptables 예시: 신뢰할 수 있는 에이전트 IP(예: 192.168.10.0/24)만 TeamCity 포트(예: 8111) 접근 허용
  iptables -A INPUT -p tcp -s 192.168.10.0/24 --dport 8111 -j ACCEPT
  iptables -A INPUT -p tcp --dport 8111 -j DROP

WAF(웹 애플리케이션 방화벽) 룰 적용

에이전트 폴링 엔드포인트(/RPC2, /app/agents 등)로 유입되는 비정상적인 Java 직렬화 헤더(AC ED 00 05 등)를 포함한 POST 요청을 차단하도록 WAF 규칙을 구성하십시오.

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 악용이 확인된 취약점이므로, 즉시 TeamCity 서버를 최신 안전 버전으로 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

기술 분석

본 취약점(CVE-2026-63077)은 JetBrains TeamCity의 빌드 에이전트와 서버 간 통신에 사용되는 에이전트 폴링 프로토콜(Agent Polling Protocol)에서 발생하는 심각한 미인증 원격 코드 실행(RCE) 취약점입니다.

취약점 원인 (CWE-502: 신뢰할 수 없는 데이터의 역직렬화)

TeamCity 서버는 에이전트로부터의 연결 및 상태 보고를 처리할 때 특정 직렬화된 객체 데이터를 수신합니다. 이 과정에서 입력값에 대한 적절한 검증 없이 역직렬화(Deserialization)를 수행하는 취약점(CWE-502)이 존재합니다.

공격 메커니즘

인증 우회: 공격자는 에이전트 통신 포트(기본적으로 서버의 주 웹 포트 또는 전용 에이전트 포트)를 통해 서버에 직접 접근합니다. 이 프로토콜은 설계상 외부 에이전트의 접근을 허용하므로 별도의 사용자 계정 인증이 필요하지 않습니다.
악성 페이로드 전송: 공격자는 Java 역직렬화 가젯 체인(Gadget Chain)을 포함한 조작된 직렬화 객체를 에이전트 폴링 요청에 실어 전송합니다.
코드 실행: TeamCity 서버가 이 데이터를 역직렬화하는 과정에서 공격자가 의도한 시스템 명령어가 서버 권한으로 실행됩니다.

파급력 및 실무 위험성

CVSS 9.8 (Critical) 및 CISA KEV 등재: 본 취약점은 이미 실제 공격에 악용되고 있는 것으로 확인되어 매우 높은 위험도를 가집니다.
CI/CD 파이프라인 장악: TeamCity 서버가 침해당할 경우, 소스 코드 유출은 물론 빌드 아티팩트에 악성코드를 주입하는 공급망 공격(Supply Chain Attack)으로 이어질 수 있습니다.