0899379170 code service 92829 *
BREAKING NEWS

Une faille dans Apache Struts touche plus de 29 millions de serveurs

Une alerte concernant une faille visant Apache Struts touche plus de 29 millions de serveurs selon un simple dork Google.

Il y a quelques heures, une alerte concernant les administrateurs de serveurs Apache confirmait une vulnérabilité dans Apache Struts. Pour faire rapide, Apache Struts est un outil libre servant au développement d’applications web en Java EE [formulaire, …]. La faille a été notifiée sous l’appellation CVE-2017-5638. En utilisant un simple dork Google, série de commandes permettant de faire ressortir des résultats ciblés, j’ai pu constater 29 282 900 possibilités, dont plus de 250 .fr, de malveillances via le code [Python] du PoC de la CVE en question.

Une faille qui donne les droits de l’utilisateur lié au serveur web vulnérable. J’ai pu constater, liste donc non exhaustive, des espaces trés importants et sensibles appartenant à des assurances, ministères… Cette faille permet de lancer des commandes sur les serveurs incriminés. Comme me l’a précisé Sébastian Gioria, un consultant en sécurité des systémes d’information et expert judiciaire Français « Une manipulation avec des uploads multipart« .

L’espace « Déclarations » incriminé a été fermé pour correction.

Mise à jour Dimanche 12 mars : Alors que ZATAZ avait été le premier à alerter sur ce problème de vulnérabilités, des centaines de sites et serveurs se sont fait infiltrer en quelques jours. En France, plusieurs sites Ministériels ont été touchés ces dernières heures comme l’espace « e-services » dédié aux professionnels de santé libéraux ; l’espace Pro Douane ou encore le portail gouvernemental dédié aux réseaux et canalisation [Ineris] sans parler du site internet-signalement.gouv.fr fermé le temps de la correction, après une attaque ou encore de l’espace Déclaration de la CNIL. La Banque Belge psabank.be, ainsi que d’importantes entreprises comme Century 21 ont, elles aussi, été impactées. Les pirates exploitent des scripts qui utilisent la vulnérabilité Apache Struts signée CVE-2017-5638 et dont le patch est accessible ICI depuis le 10 mars.

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ - Journaliste - Spécialiste des sujets liés à la Cyber Sécurité depuis plus de 20 ans. Premier article en 1989 dans le mensuel "Amstar & CPC". Fondateur de ZATAZ, ZATAZWEB.tv & datasecuritybreach.fr. Officie/a officié dans de nombreux journaux et magazines (Europe 2, 01net, La Voix du Nord, Tilt, Entrevue, l'Echo des Savanes, Le Canard Enchaîné, France 3, ...). Auteurs et coauteurs de 6 livres dont "Pirates & hackers sur Internet" (Ed. Desmart) ; "Hacker, le 5ème pouvoir" (Ed. Maxima). Intervenant pour la Licence professionnelle Collaborateur pour la Défense et l'Anti-Intrusion des Systèmes Informatiques (CDAISI) de l'Université de Valenciennes ; pour l'Ecole Européenne de Guerre Economique de Versailles. Réserviste Cyber Défense.

Articles connexes

Laisser un commentaire

*