Quatre téléchargements Apache Struts 2 sur cinq concernent des versions présentant une faille critique.

Sonatype, un éditeur de solutions de sécurité, estime que les développeurs ne font pas face à la grave vulnérabilité permettant l’exécution à distance de code (RCE) dans le framework Apache Struts 2, d’après les téléchargements récents du code. La vulnérabilité, dénommée CVE-2023-50164, est évaluée à 9,8 sur 10 en termes de gravité CVSS. Il s’agit d’un bug logique dans la fonction de téléchargement de fichiers du framework : si une application utilise Struts 2 pour permettre aux utilisateurs de télécharger des fichiers sur un serveur, ces derniers peuvent abuser de la vulnérabilité pour enregistrer des documents là où ils ne devraient pas pouvoir le faire sur cette machine distante. Ainsi, quelqu’un pourrait par exemple utiliser la faille pour télécharger un script de webshell sur un serveur web et y accéder pour prendre le contrôle de ce système ou s’en emparer. Les conséquences d’une exploitation réussie pourraient être extrêmement dommageables : pensez au vol de données, aux infections par logiciels malveillants, à l’intrusion dans un réseau, et à ce genre de chose. La solution est simple : utiliser des versions de Struts corrigées. Pourtant, des chercheurs de Sonatype, qui gère le dépôt Maven Central de logiciels open source, ont constaté qu’entre la divulgation de la faille le 7 décembre et le 18 décembre, environ 80 % des téléchargements de Struts de ce silo de code étaient pour des versions vulnérables à CVE-2023-50164.