セキュリティ

SECURITY

公開：2025-02-04

【CVE-2025-24461】TeamCity脆弱性により接続シークレットの不正復号が可能に、JetBrainsが修正版をリリース

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• TeamCity 2024.12.1未満に権限なしで接続シークレット復号が可能な脆弱性
• Test Connection経由での不正アクセスの可能性が判明
• CVSSスコア6.5のミディアムリスクと評価

TeamCityの接続シークレット復号に関する脆弱性が発覚

JetBrains社は2025年1月21日、同社が提供する継続的インテグレーションツールTeamCityにおいて、適切な権限がない状態でTest Connection経由での接続シークレットの復号が可能となる脆弱性を公開した。この脆弱性は【CVE-2025-24461】として識別されており、TeamCity 2024.12.1より前のバージョンが影響を受けることが判明している。^[1]

この脆弱性に関するCVSSスコアは6.5であり、深刻度は「MEDIUM」と評価されている。攻撃者はネットワークを介して低い権限でアクセス可能であり、ユーザーの操作を必要とせずに機密情報を取得できる可能性があるため、早急な対応が求められる状況だ。

JetBrains社は既にTeamCity 2024.12.1でこの脆弱性を修正しており、影響を受けるバージョンのユーザーに対してアップデートを推奨している。SSVCによる評価では、自動化された攻撃の可能性は低いものの、システムへの技術的な影響は部分的に存在すると指摘されている。

TeamCity脆弱性の影響範囲まとめ

JetBrainsのセキュリティ情報の詳細はこちら

接続シークレットについて

接続シークレットとは、システム間の認証や通信を安全に行うために使用される機密情報のことを指す。主な特徴として以下のような点が挙げられる。

• APIキーやパスワードなどの認証情報を安全に管理
• 暗号化された状態で保存され、必要時に復号して使用
• アクセス制御により権限のあるユーザーのみが利用可能

TeamCityでは接続シークレットを使用してビルドエージェントやバージョン管理システムとの安全な通信を実現している。今回の脆弱性では、Test Connection機能を通じて本来アクセスできないはずの接続シークレットが復号可能となり、システムのセキュリティが脅かされる事態となった。

TeamCity脆弱性に関する考察

継続的インテグレーションツールにおける認証情報の漏洩は、開発プロセス全体のセキュリティを脅かす重大な問題となる可能性がある。特にTeamCityのような広く利用されているツールでは、脆弱性が発見された場合の影響範囲が非常に大きくなることから、早期の対応と適切な情報開示が重要となるだろう。

今後はTest Connection機能のような補助的な機能においても、権限チェックの徹底やアクセス制御の強化が求められる。特に認証情報を扱う機能については、実装段階でのセキュリティレビューや定期的な脆弱性診断の実施が不可欠だ。

JetBrains社の迅速な対応は評価できるが、同様の問題の再発を防ぐためには、開発プロセスにおけるセキュリティテストの強化が必要となるだろう。特に権限管理に関する機能については、より厳密な検証プロセスの確立が望まれる。

参考サイト

1. ^ CVE. 「CVE-2025-24461 | CVE」. https://www.cve.org/CVERecord?id=CVE-2025-24461, (参照 25-02-04).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧