事故摘要

TeamCity 2024 事件顯示 CI 平台在認證繞過與路徑穿越漏洞同時存在時，交付鏈風險會被快速放大。

本案例的演示焦點：CI 管理介面 auth bypass + path traversal 雙漏洞 → build pipeline 接管 → artifact 污染擴散下游。屬 CI-platform entrypoint 漏洞鏈、跟 SolarWinds 類 build-time 植入互補。

攻擊路徑

1. 攻擊者鎖定可達 TeamCity 管理入口。
2. 利用 CVE-2024-27198 或 CVE-2024-27199 取得未授權能力。
3. 觸及 build 任務與 artifact 交付路徑。

失效控制面

• CI 管理介面隔離與存取控制不足。
• 交付鏈完整性驗證節奏不足。
• 事件時部署凍結與回退流程聯動不足。

如果 workflow 少一步會發生什麼

若少了「CI 事件即凍結交付」步驟，受影響 artifact 仍可能持續流向正式環境。

可落地的 workflow 檢查點

• 共同基線：以 runbook 與 incident timeline 固定記錄觸發條件與處置節奏。
• 發布前：管理入口採最小權限與網段隔離（VPN-only / 內網 only、不直接外網可達），mechanism 是讓 entrypoint 漏洞先碰到網段邊界。
• 日常：建立 build 異常行為與 pipeline 變更告警（unauthorized build trigger / 異常 build script 變更）。
• 事故中：凍結部署、驗證 artifact、分批恢復發佈（前提是 artifact 有 provenance 可追溯 build 是否在事件窗口內產生）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

• 控制面：7.6 供應鏈完整性與 artifact 信任 + 7.3 入口與伺服端保護 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
• 演練 / 控制落地：Supply chain artifact drill + Vulnerability response pattern + Evidence chain pattern —— 把樣式轉成 CI 凍結演練、artifact 證據鏈。
• 跨章交接：backend/05-deployment-platform 的 CI/CD 交付信任鏈、backend/08-incident-response 的凍結與回復節奏。

供應鏈類事故不對應紅隊 problem-cards，主要 chain 直接從控制面起步。

來源