TeamCity Server wiederherstellen: Jasmin Ransomware entschlüsselt

Ein Sicherheitsforscher hat eine Pre-Auth Path Traversal-Schwachstelle im Web-Panel der Jasmin Ransomware (CVE-2024-30851) identifiziert, die es Angreifern erlaubt, die Betreiber des Panels zu deanonymisieren und Entschlüsselungsschlüssel zu extrahieren. Der Zugehörige Source Code findet sich auf Github.

Diese Entdeckung ist besonders relevant im Kontext der jüngsten Exploitierungskampagne gegen TeamCity, die von der Jasmin Ransomware betroffen war (CVE-2024-27198, CVE-2024-27199). Durch die Schwachstelle im Web-Panel können Angreifer eine Authentifizierung umgehen und auf beliebige Dateien zugreifen.

Die Schwachstelle liegt im betroffenen Endpunkt (Jasmin-Ransomware/Web Panel/download_file.php), der nach dem Senden des Location-Headers nicht wie vorgesehen mit der Ausführung aufhört. Dies ermöglicht es einem Angreifer, die Authentifizierungsanforderungen zu umgehen, indem die Funktion readfile unsachgemäß aufgerufen wird, was das Lesen beliebiger Dateien erlaubt.