- Une faille critique (CVE-2023-50164) a été découverte dans Apache Struts 2, un composant utilisé dans certaines applications web d’entreprise.
- Un attaquant peut, sans être identifié, déposer une porte dérobée sur votre serveur et y exécuter des commandes à distance.
- Un correctif existe : si vous utilisez Struts 2, la mise à jour est urgente.
De quoi s’agit-il ?
Le 4 décembre 2023, Apache a publié une alerte de sécurité concernant une vulnérabilité critique dans Apache Struts 2, un cadriciel (framework) Java souvent intégré dans des applications web professionnelles. Le CERT-FR a relayé cette alerte le 13 décembre 2023.
La faille, référencée CVE-2023-50164, est particulièrement sérieuse : elle permet à une personne malveillante, sans avoir besoin de compte ou de mot de passe, de téléverser une porte dérobée (un fichier malveillant) directement sur le serveur. Une fois cette porte dérobée en place, l’attaquant peut exécuter n’importe quelle commande sur la machine, comme s’il en avait le contrôle total.
Qui est concerné ?
Sont concernées les organisations qui hébergent ou font tourner des applications web développées avec Apache Struts 2. Ce type de composant se retrouve souvent dans des applications métier, des portails internes ou des outils développés sur mesure. Si vous ne savez pas si votre infrastructure utilise Struts 2, c’est le bon moment pour poser la question à votre prestataire informatique ou votre équipe technique.
Beaucoup de PME ignorent qu’un composant comme Apache Struts 2 est embarqué dans leurs applications, car il s’agit d’un élément « invisible » pour l’utilisateur final. Ne pas savoir n’est pas une protection : demandez à votre prestataire de vérifier vos applications web.
Tenez à jour un inventaire des composants logiciels utilisés dans vos applications (notamment ceux développés par des prestataires). Cela permet de réagir rapidement dès qu’une faille comme celle-ci est annoncée.
Ce qu’il faut faire concrètement
Si vous gérez des applications web ou que vous avez recours à un prestataire qui en développe pour vous, vérifiez sans attendre si Apache Struts 2 est utilisé dans votre environnement. Si c’est le cas, appliquez immédiatement le correctif publié par Apache. En cas de doute, contactez votre prestataire informatique en lui transmettant cette alerte. Consultez également l’avis officiel du CERT-FR pour les détails techniques : CERTFR-2023-ALE-013 — CERT-FR.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.