Quatre téléchargements Apache Struts 2 sur cinq concernent des versions présentant une faille critique.

Le fournisseur de solutions de sécurité Sonatype estime que les développeurs n’ont pas su aborder la grave vulnérabilité d’exécution de code à distance (RCE) dans le framework Apache Struts 2, d’après les téléchargements récents du code. La vulnérabilité, identifiée sous l’ID CVE-2023-50164, est évaluée à 9,8 sur 10 en termes de sévérité CVSS. Il s’agit d’une erreur logique dans la fonction de téléchargement de fichiers du framework : si une application utilise Struts 2 pour permettre aux utilisateurs de télécharger des fichiers sur un serveur, ces derniers peuvent abuser de cette vulnérabilité pour enregistrer des documents là où ils ne devraient pas être autorisés à le faire sur cette machine distante. Ainsi, quelqu’un pourrait par exemple utiliser cette faille pour télécharger un script de webshell sur un serveur web, et y accéder pour prendre le contrôle de ce système ou s’y incruster. Les conséquences d’une exploitation réussie pourraient être extrêmement dommageables : pensez à des vols de données, à des infections par des logiciels malveillants, à des intrusions de réseau, et à ce genre de chose. La solution est simple : utiliser des versions de Struts corrigées. Pourtant, les chercheurs de Sonatype, qui gère le dépôt Maven Central de logiciels open source, ont constaté qu’entre la divulgation de la faille le 7 décembre et le 18 décembre, environ 80 % des téléchargements de Struts effectués à partir de ce dépôt étaient pour des versions vulnérables à CVE-2023-50164.