Cyberpediadoor Brain
NLDEENESFRIT

Equifax-autopsie 2017

De Apache Struts-kwetsbaarheid van maart 2017 (CVE-2017-5638): hoe een bereikbare server met een verouderd onderdeel kan worden overgenomen en wat u doet.

In 30 seconden

Waar het gebeurt
Op een server of toepassing die vanaf internet bereikbaar is, bijvoorbeeld een website, met een onderdeel dat niet up-to-date is.
Wat de aanvaller wil
Opdrachten op afstand uitvoeren, daarna toegang behouden en gegevens naar buiten brengen.
De reflex
Meld elk afwijkend gedrag van een website of tool van het bedrijf direct aan de IT-afdeling, zonder zelf een diagnose te proberen.
Als het al is gebeurd
Breng het beveiligingsteam op de hoogte. Dat beslist of de betrokken toepassing moet worden geïsoleerd.

Waar gaat het over

Een webserver die openstaat op internet en software die haar update niet heeft gekregen: die combinatie stelt een netwerk bloot aan een inbraak. Dit artikel volgt de Apache Struts-kwetsbaarheid CVE-2017-5638, die in maart 2017 openbaar werd1, en vergelijkt haar met een recenter geval, Log4Shell.

Een opmerking over de bronnen: het referentiedossier van dit artikel beschrijft de kwetsbaarheid, de manier waarop ze werd misbruikt en de goede werkwijzen, maar documenteert de details van de inbraak bij Equifax niet (duur, hoeveelheid gegevens, monitoring). Die elementen komen hier dus niet aan bod.

Directe vragen

Wat was de kwetsbaarheid van maart 2017?

Een kwetsbaarheid in Apache Struts liet een aanvaller willekeurige code op afstand uitvoeren1. De versies 2.3.x vóór 2.3.32 en 2.5.x vóór 2.5.10.1 waren getroffen1. Apache publiceerde op 6 maart 2017 bulletin S2-045 met een patch1.

Moest je een expert zijn om haar te misbruiken?

Nee. CERT-FR sprak van « le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité » en adviseerde de patch zo snel mogelijk uit te rollen1. De kwetsbaarheid werd actief misbruikt sinds de publicatie van het bulletin1.

Kan een medewerker iets doen?

Een medewerker installeert geen patches, maar ziet soms het eerste teken: een pagina die slecht reageert, een tool die zich anders gedraagt. Het Britse NCSC gaat ervan uit dat updates een "business as usual"-maatregel zijn7.

Wat moet er gebeuren met een kwetsbare toepassing die gevoelige gegevens bevat?

CERT-FR vond dat ze moest worden uitgeschakeld zolang de update niet was toegepast: het schreef dat dit « fortement conseillé » was1.

1In de huid van de aanvaller1 min

De aanvaller zoekt een toegangspoort die al openstaat. MITRE beschrijft deze techniek: een zwakte in een systeem dat aan internet blootstaat misbruiken om voor het eerst toegang tot een netwerk te krijgen. De zwakte kan een softwarefout zijn, een tijdelijke storing of een configuratiefout2. De misbruikte toepassingen zijn vaak websites en webservers2.

Voor de Struts-kwetsbaarheid spreekt CERT-FR van een « faible niveau de technicité » dat nodig is voor het misbruik1. De bronnen beschrijven het exacte formaat van de aanval niet en dit artikel verzint het niet.

Daarna nestelt de aanvaller zich. MITRE beschrijft de webshell: een script op een bereikbare webserver dat als doorgang naar het netwerk dient en functies voor het uitvoeren van opdrachten of een opdrachtregel kan bieden op de machine die de server host3. Het doel is blijvende toegang (de tactiek "Persistence" bij MITRE)3.

Ten slotte haalt de aanvaller de gegevens weg. MITRE beschrijft exfiltratie via het al opgezette command-and-control-kanaal: de gestolen gegevens worden gecodeerd in de normale communicatiestroom, met hetzelfde protocol4.

2Wat u op het scherm ziet1 min

Het scherm toont mogelijk niets bijzonders. Kleine details zijn dan het melden waard: ongebruikelijke traagheid, een gewijzigde pagina, een dienst die zonder reden herstart, een waarschuwing van een beveiligingstool.

Deze tekens bewijzen op zichzelf niets. De medewerker hoeft niet te oordelen: hij beschrijft wat hij zag (tijdstip, toepassing, gedrag) en laat het beveiligingsteam de conclusie trekken.

3Onder de motorkapIT-teams1 min

Het mechanisme komt neer op vier stappen, elk gestaafd door de bronnen.

  • De kwetsbaarheid: een fout in een onderdeel (hier Struts) die de patch van Apache verhelpt1.
  • De toegang: misbruik van een toepassing die aan internet blootstaat en code-uitvoering op afstand mogelijk maakt12.
  • De installatie: een webshell of een andere blijvende toegang3.
  • De uitgang: de gegevens verlaten het netwerk via het command-and-control-kanaal4.

Aan de verdedigingskant noemt MITRE maatregelen tegen misbruik van een blootgestelde toepassing. Werk blootgestelde software regelmatig bij. Scan blootgestelde systemen regelmatig en voorzie procedures voor snel herstel wanneer een kritieke kwetsbaarheid wordt ontdekt. Segmenteer blootgestelde servers van de rest van het netwerk. Beperk het uitgaande verkeer van openbare servers: dat voorkomt het eerste misbruik niet, maar de aanvaller kan de gekraakte server daarna moeilijker aansturen2.

Het NCSC wijst op een basisprincipe: alle systemen bevatten kwetsbaarheden, en met doeltreffend beheer weet men welke aanwezig zijn en waar updates mislukken7.

4IncidentanalysesEchte gevallen1 min

Apache Struts, maart 2017

Op 6 maart 2017 publiceert Apache bulletin S2-0451. Op 10 maart 2017 verspreidt CERT-FR zijn waarschuwing, waarin staat dat de kwetsbaarheid actief wordt misbruikt sinds de publicatie1. De waarschuwing wordt op 10 mei 2017 gesloten1. Op de datum van zijn waarschuwing, vier dagen na het bulletin, stelt CERT-FR dus actief misbruik van de kwetsbaarheid vast1.

Log4Shell, december 2021

CERT-FR publiceert zijn eerste waarschuwing over Log4j op 10 december 20215. De bibliotheek wordt zeer vaak gebruikt in Java-projecten en door aanbieders van standaardsoftware5. Een aanvaller kan code op afstand laten uitvoeren zonder geauthenticeerd te zijn, bijvoorbeeld via een inlogpagina die fouten logt5.

Volgens openbare informatie die de gezamenlijke waarschuwing van CISA en zijn partners doorgeeft, begon het misbruik van Log4Shell op of rond 1 december 2021, en bestaat er openbare exploitcode6. De FBI zag pogingen tot misbruik en massale scans met als doel software voor cryptomining en botnetsoftware te installeren6. De waarschuwing vraagt eerst om de betrokken middelen te identificeren: een inventaris maken van alle assets die de Log4j-bibliotheek gebruiken, cloud inbegrepen6.

Fiche

Identificatie
CP-181
Vleugel
2. Malware en incidentanalyses
Brain-competentie
Incidenten melden (report_incidents)
Brain-reflex
cr-031
Schema
G4 · Tijdlijn van het incident (analyse)
Talen
de, en, es, fr, it, nl
Bronnen
7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
  1. CERT-FR (ANSSI), “Vulnérabilité dans Apache Struts”, 10 maart 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (geraadpleegd op 3 november 2026)
  2. MITRE ATT&CK, “Exploit Public-Facing Application”. https://attack.mitre.org/techniques/T1190/ (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Server Software Component: Web Shell”. https://attack.mitre.org/techniques/T1505/003/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Exfiltration Over C2 Channel”. https://attack.mitre.org/techniques/T1041/ (geraadpleegd op 3 november 2026)
  5. CERT-FR (ANSSI), “[MaJ] Vulnérabilité dans Apache Log4j”, 10 december 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (geraadpleegd op 3 november 2026)
  6. CISA, “Mitigating Log4Shell and Other Log4j-Related Vulnerabilities”. https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (geraadpleegd op 3 november 2026)
  7. NCSC (Royaume-Uni), “Vulnerability management”, 12 februari 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Equifax-autopsie 2017”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/equifax-struts-autopsie/

BibTeX 
@misc{brain_cp181_nl_2026,
  author = {Brain},
  title = {Equifax-autopsie 2017},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/equifax-struts-autopsie/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0