Cyberpediadi Brain
ITDEENESFR

Autopsia Equifax 2017

La falla Apache Struts di marzo 2017 (CVE-2017-5638): come un server esposto con un componente obsoleto può essere violato e cosa fa un dipendente.

In 30 secondi

Dove accade
Su un server o un'applicazione raggiungibile da Internet, per esempio un sito web, con un componente non aggiornato.
Cosa vuole l'attaccante
Eseguire comandi da remoto, poi mantenere l'accesso e portare fuori dati.
Il riflesso
Il riflesso: segnalare senza attendere al servizio informatico qualsiasi comportamento anomalo di un sito o di uno strumento aziendale, senza cercare di diagnosticarlo da soli.
Se è già successo
Avvisare il team di sicurezza, che deciderà se isolare l'applicazione interessata.

Di cosa si tratta

Un server web aperto su Internet e un software che non ha ricevuto l'aggiornamento: questa situazione espone una rete a un'intrusione. La scheda segue la falla Apache Struts CVE-2017-5638, resa pubblica nel marzo 20171, e la confronta con un caso più recente, Log4Shell.

Una precisazione sulle fonti: il dossier di riferimenti di questa scheda descrive la falla, il suo sfruttamento e le buone pratiche, ma non documenta il dettaglio dell'intrusione presso Equifax (durata, volume di dati, monitoraggio). Questi elementi non sono quindi ripresi qui.

Domande dirette

Qual era la falla di marzo 2017?

Una vulnerabilità di Apache Struts permetteva a un attaccante di provocare l'esecuzione di codice arbitrario da remoto1. Erano interessate le versioni 2.3.x precedenti alla 2.3.32 e 2.5.x precedenti alla 2.5.10.11. Apache ha pubblicato il bollettino S2-045 il 6 marzo 2017 per fornire una correzione1.

Bisognava essere esperti per sfruttarla?

No. Il CERT-FR indicava «le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité» e raccomandava di distribuire la correzione il più rapidamente possibile1. La falla era sfruttata attivamente dalla pubblicazione del bollettino1.

Un dipendente può fare qualcosa?

Non installa le correzioni, ma a volte vede il primo segnale: una pagina che risponde male, uno strumento che si comporta in modo diverso. L'NCSC britannico parte dal principio che gli aggiornamenti siano un controllo «business as usual»7.

Cosa fare di un'applicazione vulnerabile che contiene dati sensibili?

Il CERT-FR riteneva che andasse disattivata finché l'aggiornamento non fosse applicato: scriveva che era «fortement conseillé»1.

1Nei panni dell'attaccante1 min

L'attaccante cerca una porta d'ingresso già aperta. MITRE descrive questa tecnica: sfruttare una debolezza di un sistema esposto a Internet per ottenere un primo accesso a una rete. La debolezza può essere un difetto del software, un guasto passeggero o un errore di configurazione2. Le applicazioni sfruttate sono spesso siti e server web2.

Per la falla Struts, il CERT-FR parla di un «faible niveau de technicité» necessario allo sfruttamento1. Le fonti non descrivono il formato esatto dell'attacco e questa scheda non lo inventa.

Poi si installa. MITRE descrive la web shell: uno script collocato su un server web accessibile, che fa da passaggio verso la rete e può offrire funzioni di esecuzione o una riga di comando sulla macchina che ospita il server3. L'obiettivo è un accesso duraturo (tattica «Persistence» in MITRE)3.

Infine porta fuori i dati. MITRE descrive un'esfiltrazione attraverso il canale di comando e controllo già stabilito: i dati rubati sono codificati nel normale flusso di comunicazione, con lo stesso protocollo4.

2Cosa si vede sullo schermo1 min

Lo schermo può non mostrare nulla di anomalo. Vale la pena segnalare allora i piccoli dettagli: lentezza insolita, pagina modificata, servizio che si riavvia senza motivo, avviso di uno strumento di sicurezza.

Questi segnali da soli non provano nulla. Il dipendente non deve stabilire cosa sia successo: descrive ciò che ha visto (ora, applicazione, comportamento) e lascia concludere al team di sicurezza.

3Sotto il cofanoTeam IT1 min

Il meccanismo si riassume in quattro fasi, ciascuna sostenuta dalle fonti.

  • La falla: un difetto in un componente (qui Struts) che la correzione di Apache risolve1.
  • L'ingresso: lo sfruttamento di un'applicazione esposta a Internet, che consente l'esecuzione di codice da remoto12.
  • L'installazione: una web shell o un altro accesso duraturo3.
  • L'uscita: i dati lasciano la rete attraverso il canale di comando e controllo4.

Sul versante della difesa, MITRE elenca misure contro lo sfruttamento di un'applicazione esposta. Aggiornare regolarmente i software esposti. Analizzare regolarmente i sistemi esposti e prevedere procedure di correzione rapida quando viene scoperta una falla critica. Segmentare i server esposti dal resto della rete. Limitare il traffico in uscita dei server pubblici: questo non impedisce lo sfruttamento iniziale, ma all'attaccante riesce più difficile controllare in seguito il server compromesso2.

L'NCSC ricorda un punto di fondo: tutti i sistemi contengono vulnerabilità, e una gestione efficace permette di sapere quali sono presenti e dove gli aggiornamenti falliscono7.

4AutopsieCasi reali1 min

Apache Struts, marzo 2017

Il 6 marzo 2017 Apache pubblica il bollettino S2-0451. Il 10 marzo 2017 il CERT-FR diffonde il suo allarme, che indica che la falla è sfruttata attivamente dalla pubblicazione1. L'allarme è chiuso il 10 maggio 20171. Alla data del suo allarme, quattro giorni dopo il bollettino, il CERT-FR constata dunque lo sfruttamento attivo della falla1.

Log4Shell, dicembre 2021

Il CERT-FR pubblica il suo primo allarme su Log4j il 10 dicembre 20215. La libreria è usata molto spesso nei progetti Java e dai produttori di software già pronto all'uso5. Un attaccante può provocare l'esecuzione di codice da remoto senza essere autenticato, per esempio tramite una pagina di accesso che registra gli errori5.

Secondo informazioni pubbliche riprese dall'avviso congiunto della CISA e dei suoi partner, lo sfruttamento di Log4Shell è iniziato il 1° dicembre 2021 o intorno a tale data, ed esiste un codice di sfruttamento pubblico6. L'FBI ha osservato tentativi di sfruttamento e scansioni di massa volti a installare software di mining di criptovalute e di botnet6. L'avviso chiede innanzitutto di identificare le risorse interessate: censire tutti gli asset che usano la libreria Log4j, cloud compreso6.

Scheda

Identificativo
CP-181
Ala
2. Malware e autopsie
Competenza Brain
Segnalare gli incidenti (report_incidents)
Riflesso Brain
cr-031
Schema
G4 · Cronologia dell'incidente (autopsia)
Lingue
de, en, es, fr, it
Fonti
7 fonti verificate il 3 novembre 2026
Fonti7 fonti
  1. CERT-FR (ANSSI), «Vulnérabilité dans Apache Struts», 10 marzo 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «Exploit Public-Facing Application». https://attack.mitre.org/techniques/T1190/ (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Server Software Component: Web Shell». https://attack.mitre.org/techniques/T1505/003/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Exfiltration Over C2 Channel». https://attack.mitre.org/techniques/T1041/ (consultato il 3 novembre 2026)
  5. CERT-FR (ANSSI), «[MaJ] Vulnérabilité dans Apache Log4j», 10 dicembre 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consultato il 3 novembre 2026)
  6. CISA, «Mitigating Log4Shell and Other Log4j-Related Vulnerabilities». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consultato il 3 novembre 2026)
  7. NCSC (Royaume-Uni), «Vulnerability management», 12 febbraio 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Autopsia Equifax 2017», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/

BibTeX 
@misc{brain_cp181_it_2026,
  author = {Brain},
  title = {Autopsia Equifax 2017},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0