Les cybercriminels exploitent activement la faille critique découverte dans Apache Struts !
Apache Struts est actuellement une cible privilégiée pour les cybercriminels suite à la découverte d'une faille de sécurité critique permettant l'exécution de code à distance ! Voici ce qu'il faut savoir.
Sommaire
Au fait, c'est quoi Apache Struts ?
Apache Struts est un framework libre que les développeurs peuvent utiliser pour développer des applications web basées sur Java EE. En fait, Apache Struts est susceptible d'être utilisé par certaines de vos applications, sans que vous le sachiez forcément.
La faille de sécurité CVE-2023-50164
Le 4 décembre 2023, un bulletin de sécurité a été mis en ligne au sujet de la faille de sécurité critique CVE-2023-50164 présente dans Apache Struts. "Cette vulnérabilité permet à un attaquant non authentifié de téléverser une porte dérobée sur un serveur vulnérable, et ainsi exécuter du code arbitraire à distance.", peut-on lire sur le site du CERT-FR qui évoque cette vulnérabilité de type "path transversal".
Depuis quelques jours, un code d'exploitation publique est disponible (notamment ici) et les cybercriminels l'utilisent pour effectuer des tentatives de compromissions de serveur. Malgré tout, la vulnérabilité ne semble pas aussi simple à exploiter que Log4Shell, par exemple.
"Mes applications sont-elles vulnérables ?", c'est la question que tout le monde se pose. Il n'est pas facile d'y répondre. Actuellement, nous savons que Cisco est en train d'analyser certains de ses produits afin de déterminer s'ils sont affectés ou non. Un bulletin de sécurité, avec la liste des produits potentiellement vulnérables, a été publié par l'entreprise américaine.
Comment se protéger ?
La vulnérabilité affecte les versions suivantes d'Apache Struts :
- 2.0.0 à 2.5.32
- 6.0.0 à 6.3.0.1
- 2.0.0 à 2.3.37 (versions qui ne sont plus supportées !)
Pour être protégé, il faut utiliser Apache Struts 2.5.33, Apache Struts 6.3.0.2 ou supérieur. Une grosse partie du travail est à réaliser par les éditeurs de solution directement... Amis développeurs, nous comptons sur vous ! En 2017, une vulnérabilité présente dans Apache Struts avait été à l'origine d'une cyberattaque chez Equifax.
