Une faille dans Apache Struts touche plus de 29 millions de serveurs

Une alerte concernant une faille visant Apache Struts touche plus de 29 millions de serveurs selon un simple dork Google.

Il y a quelques heures, une alerte concernant les administrateurs de serveurs Apache confirmait une vulnérabilité dans Apache Struts. Pour faire rapide, Apache Struts est un outil libre servant au développement d’applications web en Java EE [formulaire, …]. La faille a été notifiée sous l’appellation CVE-2017-5638. En utilisant un simple dork Google, série de commandes permettant de faire ressortir des résultats ciblés, j’ai pu constater 29 282 900 possibilités, dont plus de 250 .fr, de malveillances via le code [Python] du PoC de la CVE en question.

Serveur Apache en danger. Il est grand temps de patcher ! Apache Strust CVE: 2017-5638 ! #cybersécurité

— ZATAZ – "o/" (@zataz) March 9, 2017

Une faille qui donne les droits de l’utilisateur lié au serveur web vulnérable. J’ai pu constater, liste donc non exhaustive, des espaces trés importants et sensibles appartenant à des assurances, ministères… Cette faille permet de lancer des commandes sur les serveurs incriminés. Comme me l’a précisé Sébastian Gioria, un consultant en sécurité des systémes d’information et expert judiciaire Français « Une manipulation avec des uploads multipart« .

L’espace « Déclarations » incriminé a été fermé pour correction.

Mise à jour Dimanche 12 mars : Alors que ZATAZ avait été le premier à alerter sur ce problème de vulnérabilités, des centaines de sites et serveurs se sont fait infiltrer en quelques jours. En France, plusieurs sites Ministériels ont été touchés ces dernières heures comme l’espace « e-services » dédié aux professionnels de santé libéraux ; l’espace Pro Douane ou encore le portail gouvernemental dédié aux réseaux et canalisation [Ineris] sans parler du site internet-signalement.gouv.fr fermé le temps de la correction, après une attaque ou encore de l’espace Déclaration de la CNIL. La Banque Belge psabank.be, ainsi que d’importantes entreprises comme Century 21 ont, elles aussi, été impactées. Les pirates exploitent des scripts qui utilisent la vulnérabilité Apache Struts signée CVE-2017-5638 et dont le patch est accessible ICI depuis le 10 mars.