Cyberpediapar Brain
FRDEEN

Autopsie Equifax 2017

La faille Apache Struts de mars 2017 (CVE-2017-5638) : comment un serveur exposé avec un composant périmé peut être pris, et ce que fait un salarié.

En 30 secondes

Où ça arrive
Sur un serveur ou une application accessible depuis Internet, par exemple un site web, dont un composant n'est pas à jour.
Ce que veut l'attaquant
Exécuter des commandes à distance, puis garder un accès et sortir des données.
Le réflexe
Signaler sans attendre au service informatique tout comportement anormal d'un site ou d'un outil de l'entreprise, sans chercher à le diagnostiquer soi-même.
Si c'est déjà fait
Prévenir l'équipe sécurité, qui décidera s'il faut isoler l'application concernée.

De quoi parle-t-on

Un serveur web ouvert sur Internet, un logiciel qui n'a pas reçu sa mise à jour : cette situation expose un réseau à une intrusion. Cette fiche suit la faille Apache Struts CVE-2017-5638, rendue publique en mars 20171, et la compare à un cas plus récent, Log4Shell.

Précision sur les sources : le dossier de références de cette fiche décrit la faille, son exploitation et les bonnes pratiques, mais ne documente pas le détail de l'intrusion chez Equifax (durée, volume de données, supervision). Ces éléments ne sont donc pas repris ici.

Questions directes

Quelle était la faille de mars 2017 ?

Une vulnérabilité d'Apache Struts permettait à un attaquant de provoquer une exécution de code arbitraire à distance1. Les versions 2.3.x antérieures à 2.3.32 et 2.5.x antérieures à 2.5.10.1 étaient touchées1. Apache a publié le bulletin S2-045 le 6 mars 2017 pour fournir un correctif1.

Fallait-il être un expert pour l'exploiter ?

Non. Le CERT-FR notait « le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité » et recommandait de déployer le correctif dans les plus brefs délais1. La faille était activement exploitée depuis la publication du bulletin1.

Un salarié peut-il faire quelque chose ?

Il ne pose pas les correctifs, mais il voit parfois le premier signe : une page qui répond mal, un outil qui se comporte autrement. Le NCSC britannique part du principe que les mises à jour sont un contrôle « business as usual »7.

Que faire d'une application vulnérable qui contient des données sensibles ?

Le CERT-FR la jugeait à désactiver tant que la mise à jour n'était pas appliquée : il écrivait que c'était « fortement conseillé »1.

1Dans la peau de l'attaquant1 min

L'attaquant cherche une porte d'entrée déjà ouverte. MITRE décrit cette technique : exploiter une faiblesse d'un système exposé à Internet pour accéder une première fois à un réseau. La faiblesse peut être un défaut logiciel, un incident passager ou une erreur de configuration2. Les applications exploitées sont souvent des sites et serveurs web2.

Pour la faille Struts, le CERT-FR parle d'un « faible niveau de technicité » nécessaire à l'exploitation1. Les sources ne décrivent pas le format exact de l'attaque et cette fiche ne l'invente pas.

Ensuite, il s'installe. MITRE décrit le web shell : un script placé sur un serveur web accessible, qui sert de passerelle vers le réseau et peut offrir des fonctions d'exécution ou une ligne de commande sur la machine qui héberge le serveur3. L'objectif est un accès durable (tactique « Persistence » chez MITRE)3.

Enfin, il sort les données. MITRE décrit une exfiltration par le canal de commande et contrôle déjà établi : les données volées sont encodées dans le flux normal de communication, avec le même protocole4.

2Ce que vous voyez à l'écran1 min

L'écran peut ne rien afficher d'anormal. Les petits détails méritent alors d'être signalés : lenteur inhabituelle, page modifiée, service qui redémarre sans raison, alerte d'un outil de sécurité.

Ces signes ne prouvent rien à eux seuls. Le salarié n'a pas à trancher : il décrit ce qu'il a vu (heure, application, comportement) et laisse l'équipe sécurité conclure.

3Sous le capotÉquipes IT1 min

Le mécanisme se résume en quatre étapes, chacune appuyée par les sources.

  • La faille : un défaut dans un composant (ici Struts) que le correctif d'Apache corrige1.
  • L'entrée : l'exploitation d'une application exposée à Internet, qui permet l'exécution de code à distance12.
  • L'installation : un web shell ou un autre accès durable3.
  • La sortie : les données quittent le réseau par le canal de commande et contrôle4.

Côté défense, MITRE liste des mesures contre l'exploitation d'une application exposée. Mettre à jour régulièrement les logiciels exposés. Analyser régulièrement les systèmes exposés et prévoir des procédures de correction rapide quand une faille critique est découverte. Segmenter les serveurs exposés du reste du réseau. Restreindre le trafic sortant des serveurs publics : cela n'empêche pas l'exploitation initiale, mais l'attaquant a plus de mal à contrôler ensuite le serveur compromis2.

Le NCSC rappelle un point de fond : tous les systèmes contiennent des vulnérabilités, et une gestion efficace permet de savoir lesquelles sont présentes et où les mises à jour échouent7.

4AutopsiesCas réels1 min

Apache Struts, mars 2017

Le 6 mars 2017, Apache publie le bulletin S2-0451. Le 10 mars 2017, le CERT-FR diffuse son alerte, qui indique que la faille est activement exploitée depuis la publication1. L'alerte est clôturée le 10 mai 20171. À la date de son alerte, quatre jours après le bulletin, le CERT-FR constate donc l'exploitation active de la faille1.

Log4Shell, décembre 2021

Le CERT-FR publie sa première alerte sur Log4j le 10 décembre 20215. La bibliothèque est très souvent utilisée dans les projets Java et par les éditeurs de logiciels sur étagère5. Un attaquant peut provoquer une exécution de code à distance sans être authentifié, par exemple via une page d'authentification qui journalise les erreurs5.

Selon des informations publiques relayées par l'avis conjoint de la CISA et de ses partenaires, l'exploitation de Log4Shell a commencé le 1er décembre 2021 ou autour de cette date, et un code d'exploitation public existe6. Le FBI a observé des tentatives d'exploitation et des analyses massives visant à installer des logiciels de minage de cryptomonnaie et de botnet6. L'avis demande d'abord d'identifier les ressources concernées : inventorier tous les actifs qui utilisent la bibliothèque Log4j, cloud compris6.

Fiche

Identifiant
CP-181
Aile
2. Malwares et autopsies
Compétence Brain
Signaler les incidents (report_incidents)
Réflexe Brain
cr-031
Schéma
G4 · Chronologie d'incident (Autopsie)
Langues
de, en, fr
Sources
7 sources vérifiées le 3 novembre 2026
Sources7 sources
  1. CERT-FR (ANSSI), « Vulnérabilité dans Apache Struts », 10 mars 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Exploit Public-Facing Application ». https://attack.mitre.org/techniques/T1190/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Server Software Component: Web Shell ». https://attack.mitre.org/techniques/T1505/003/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Exfiltration Over C2 Channel ». https://attack.mitre.org/techniques/T1041/ (consulté le 3 novembre 2026)
  5. CERT-FR (ANSSI), « [MaJ] Vulnérabilité dans Apache Log4j », 10 décembre 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consulté le 3 novembre 2026)
  6. CISA, « Mitigating Log4Shell and Other Log4j-Related Vulnerabilities ». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consulté le 3 novembre 2026)
  7. NCSC (Royaume-Uni), « Vulnerability management », 12 février 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consulté le 3 novembre 2026)

Citer cet article

Brain, « Autopsie Equifax 2017 », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/

BibTeX 
@misc{brain_cp181_fr_2026,
  author = {Brain},
  title = {Autopsie Equifax 2017},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0