Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Principaux enseignements
- Une nouvelle vulnérabilité critique (CVE-2024-53677) affecte Apache Struts 2.5.33, une version qui ne recevra pas de correctif officiel de la part d'Apache.
- En continuant à utiliser des versions en fin de vie comme la 2.5.33, vous exposez vos applications aux attaques des pirates.
- L'Endless Lifecycle Support (ELS) de TuxCare fournit des correctifs continus pour EOL Struts 2.5.33, garantissant une protection continue sans migration forcée et coûteuse.
Apache Struts est un cadre d'application web open-source couramment utilisé par les entreprises pour le développement d'applications web Java à grande échelle. Il jouit d'une popularité de longue date en raison de sa flexibilité et de son architecture MVC (Modèle-Vue-Contrôleur), ainsi que de sa capacité à prendre en charge des services critiques dans des domaines bien connus tels que la finance, l'administration publique, la santé et les télécommunications.
Mais cette popularité la rend tout aussi attrayante pour les attaquants. Chaque fois qu'une faille de sécurité critique est découverte, ceux qui ne la corrigent pas deviennent rapidement des cibles faciles. Le risque est d'autant plus grand aujourd'hui que de nombreuses entreprises utilisent encore Apache Struts 2.5.33, qui a atteint sa fin de vie (EOL) en décembre 2023 - ce qui signifie que la Apache Software Foundation ne fournit plus de correctifs pour les vulnérabilités nouvellement découvertes.
Dans cet article, nous examinerons les récentes vulnérabilités d'Apache Struts, nous étudierons les dangers liés à l'utilisation de versions non prises en charge comme la 2.5.33 et nous apprendrons comment aborder le processus de gestion des vulnérabilités de manière à garantir que vos anciennes applications sont protégées contre les cyberévénements et qu'elles sont conformes aux cadres réglementaires.
Vulnérabilités récentes d'Apache Struts et leurs corrections
Deux vulnérabilités critiques de Struts sont apparues récemment, soulignant le besoin urgent d'une stratégie robuste de correction de la cybersécurité.
50164
Avec un score CVSS très élevé de 9.8, cette faille affecte de nombreuses versions d'Apache Struts. Il s'agit d'une vulnérabilité de traversée de chemin qui permet à un attaquant de manipuler les paramètres de téléchargement de fichiers afin de glisser un fichier malveillant à un endroit non prévu par le développeur et de déclencher l'exécution de code à distance. Elle a été corrigée par une mise à jour de sécurité dans les versions 2.5.33 et 6.3.0.2.
53677
Une autre faille critique dans la logique de téléchargement de fichiers du framework, avec son propre score CVSS d'horreur. Un attaquant distant non authentifié peut effectuer une traversée du système et télécharger des fichiers malveillants. De nombreuses versions vulnérables sont concernées par cette CVE, dont la 2.5.33, mais cette faille a été corrigée dans la mise à jour de sécurité de la version 6.4.0.
Les CVE en un coup d'œil
|
ID CVE |
Gravité (score CVSS v3) |
Impact |
Versions concernées |
|
53677 |
9.8 Critique |
Exécution de code à distance (par téléchargement de fichier/traversée de chemin) |
2.0.0 avant 6.4.0 |
|
50164 |
9.8 Critique |
Exécution de code à distance (par téléchargement de fichier/traversée de chemin) |
Avant 2.5.33 ou 6.3.0.2 |
|
5638 |
9.8 Critique |
Exécution de code à distance (via l'en-tête Content-Type crafté dans le téléchargement de fichiers) |
2.3.x avant 2.3.32 et 2.5.x avant 2.5.10.1 |
La violation d'Equifax : Une leçon sur la sécurité de Struts
Pour beaucoup, le nom d'Apache Struts évoque l'une des cyberattaques les plus tristement célèbres de l'histoire : la violation de données d'Equifax en 2017. Cette violation a été causée par le fait qu'Equifax n'a pas corrigé une vulnérabilité critique dans Apache Struts. Cet incident est une étude de cas de ce qui peut arriver à la posture de sécurité d'une organisation lorsque des vulnérabilités critiques ne sont pas corrigées.
La cause première était CVE-2017-5638, une vulnérabilité RCE (exécution de code à distance) dans la fonction de téléchargement de fichiers de Struts. L'Apache Software Foundation a publié un correctif en mars 2017, accompagné d'un avis de sécurité clair. Equifax n'a toutefois pas appliqué le correctif, laissant ainsi la porte ouverte aux attaques en ligne d'acteurs malveillants.
Source : NVD (CVE-2017-5638)
Les conséquences ont été stupéfiantes. Des pirates informatiques ont exploité cette faille de cybersécurité pour accéder aux données personnelles de plus de 147 millions de personnes, y compris les numéros de sécurité sociale, les dates de naissance et les adresses. Equifax a dû faire face à des millions de dollars de règlements, de frais juridiques et de dépenses de remise en état, sans parler des dommages irréparables causés à sa réputation.
Ignorer un correctif de sécurité est un risque trop grand pour être pris. Cela montre que même si le fournisseur fournit un correctif, c'est à l'utilisateur qu'incombe la responsabilité de le déployer en temps voulu. Et aujourd'hui, dans un contexte de cybersécurité où de nouvelles vulnérabilités sont découvertes chaque jour, les risques ne font qu'augmenter lorsque les logiciels arrivent en fin de vie et ne reçoivent plus de nouveaux correctifs.
Risques liés à l'exécution d'Apache Struts 2.5.33 (EOL)
Si la violation d'Equifax et les récentes vulnérabilités critiques démontrent l'importance des correctifs, la préoccupation immédiate des utilisateurs d'Apache Struts 2.5.33 concerne les risques actuels et futurs. Depuis avril 2024, la branche Apache Struts 2.5.x a officiellement atteint sa fin de vie, ce qui fait de la version 2.5.33 un framework non pris en charge.
Ce statut de fin de vie crée un dangereux problème de sécurité et de gestion :
Pas de patchs officiels
En l'absence de support officiel, toute nouvelle vulnérabilité découverte dans Apache Struts 2.5.33 reste sans correctif émis par la Apache Software Foundation. Si une vulnérabilité critique apparaît, comme les récentes failles d'exécution de code à distance, les applications restent exposées sans correctif de première partie, ce qui les rend indéfiniment vulnérables.
Les attaquants ciblent les systèmes existants
Les cybercriminels savent que les logiciels anciens, en fin de vie, sont des fruits faciles à attraper. Ils recherchent activement les failles connues dans les anciens cadres, persuadés que de nombreuses organisations n'appliqueront pas les correctifs. Par conséquent, les applications non corrigées deviennent des cibles de choix pour les cybermenaces.
Pour en savoir plus sur les risques liés à la fin de vie (EOL) d'Apache CXF et sur la manière dont les frameworks de services Web obsolètes exposent les API à des menaces similaires, consultez notre guide détaillé.
Conseils d'experts : Que lire ensuite ?
- [EOL ≠ RIP] Découvrez comment les attaquants exploitent les systèmes d'exploitation open-source non corrigés.
- Vous exécutez une version non supportée d'un runtime, d'une bibliothèque, d'une application ou d'un système d'exploitation ? Voici comment rester en sécurité avec TuxCare.
- CentOS Stream vs. CentOS Linux : Apprenez quand la migration a du sens et quand elle n'en a pas.
- Arrêtez les cauchemars de conformité avant qu'ils ne commencent : Découvrez comment rester prêt pour un audit lorsque votre système d'exploitation arrive en fin de vie.
Conformité et risques réglementaires
Les organisations situées dans des zones bien connues et concernées par des réglementations populaires (par exemple PCI DSS, HIPAA ou SOC 2) sont confrontées à de graves conséquences lorsqu'elles utilisent des logiciels non pris en charge. Ces normes exigent des organisations qu'elles maintiennent des systèmes sécurisés et à jour, ainsi qu'une politique de sécurité bien documentée. Une vulnérabilité connue et non corrigée peut entraîner des échecs d'audit, des amendes substantielles et une atteinte à la réputation.
Les coûts cachés de l'insécurité
L'exploitation d'une application non sécurisée coûte plus cher que le simple risque d'une violation due à des vulnérabilités potentielles. Les équipes de développement sont souvent retirées des projets d'innovation pour gérer les corrections d'urgence, ce qui augmente la dette technique et rend les migrations futures plus complexes et plus coûteuses. Cela signifie que pour les équipes qui ne peuvent pas effectuer une migration coûteuse et perturbatrice, une solution alternative éprouvée n'est plus optionnelle - elle est essentielle.
Support du cycle de vie sans fin de TuxCare pour Apache Struts 2.5.33
Pour les organisations qui ne peuvent pas se permettre une migration immédiate, coûteuse et perturbatrice, les risques de sécurité des logiciels en fin de vie et les vulnérabilités potentielles qu'ils peuvent introduire peuvent sembler insurmontables. L 'Endless Lifecycle Support (ELS) de TuxCare pour Apache Struts offre un moyen sûr et fiable de maintenir la sécurité et la conformité de votre application.
ELS de TuxCare est un service d'entreprise qui prolonge la durée de vie de vos déploiements Apache Struts 2.5.33 en fournissant une mise à jour de sécurité continue longtemps après la date officielle de fin de vie. TuxCare surveille les nouvelles vulnérabilités, développe des correctifs et les fournit directement à vos systèmes.
Les principaux avantages de cette approche sont les suivants :
Sécurité continue
TuxCare fournit des correctifs de sécurité rapides et garantis par SLA pour les nouvelles CVE qui apparaissent dans le cadre Apache Struts 2.5.33. Ainsi, votre application reste protégée contre les dernières menaces aussi longtemps que nécessaire.
Compatibilité préservée
Chaque mise à jour de sécurité est testée de manière approfondie pour fonctionner parfaitement avec votre code et vos dépendances existants. Cela élimine le risque d'une application instable ou cassée qui accompagne souvent une migration complexe et forcée vers une version plus récente.
Évite les migrations coûteuses et perturbatrices
ELS élimine la pression d'une migration urgente et chronophage. Il permet à vos équipes de rester concentrées sur le développement tout en planifiant les futures mises à niveau selon leurs propres termes - sans laisser de failles de sécurité dans votre infrastructure critique dans l'intervalle.
Restez sur votre version de fin de vie - en toute sécurité
Le programme Endless Lifecycle Support (ELS) continue d'envoyer des correctifs de sécurité pour les outils open-source non pris en charge de votre pile de logiciels, qu'il s'agisse de moteurs d'exécution, de bibliothèques, de systèmes d'exploitation ou d'applications.
Sécurisez votre Apache Struts avec TuxCare
L'utilisation d'un framework en fin de vie tel qu'Apache Struts 2.5.33 représente un risque calculé, qui expose votre entreprise à des vulnérabilités non corrigées, à un non-respect des réglementations et à un risque de violation majeure de la sécurité. En adoptant la bonne approche, vous n'avez pas à choisir entre sécurité et stabilité opérationnelle.
Endless Lifecycle Support for Apache Struts de TuxCare offre une solution sûre, fiable et rentable. Il fournit les correctifs de sécurité essentiels dont vos applications ont besoin, vous permettant de maintenir l'intégrité sans le processus perturbateur et souvent irréalisable d'une migration à grande échelle.
Ne laissez pas un cadre hérité devenir la prochaine responsabilité majeure de votre organisation en matière de sécurité. Prenez le contrôle de votre sécurité et bénéficiez de la tranquillité d'esprit que procure une assistance continue et experte.
