Pelanggaran data Equifax yang mengekspos data sensitif sebanyak 143 juta orang disebabkan oleh pemanfaatan celah dalam framework Apache Struts, yang mana kerentanan tersebut sudah Apache perbaiki dua bulan sebelum terjadinya insiden keamanan.
Lembaga pemeringkat kredit Equifax adalah contoh lain dari perusahaan yang menjadi korban serangan cyber masif karena tidak menerapkan patch kerentanan kritis tepat waktu, padahal patchnya telah dikeluarkan oleh perusahaan terkait.
Nilai kritis dengan skor maksimum 10.0, kerentanan Apache Struts2 (CVE-2017-5638) yang dieksploitasi dalam pelanggaran data Equifax telah diungkapkan dan diperbaiki oleh Apache pada tanggal 6 Maret dengan diluncurkannya Apache Struts versi 2.3.32 atau 2.5.10.1.
Kerentanan ini terpisah dari CVE-2017-9805, kerentanan Apache Struts2 lainnya yang diperbaiki awal bulan ini. Yang mana merupakan bug pemrograman bermanifestasi karena plugin Struts REST menangani muatan XML sambil deserializing, dan diperbaiki di versi Struts 2.5.13.
Tepat setelah pengungkapan kerentanan tersebut, peretas mulai secara aktif mengeksploitasi kerentanan di alam bebas untuk menginstal aplikasi berbahaya pada server web yang terpengaruh setelah kode eksploitasi proof-of-concept (PoC) diupload ke situs China.
Meskipun patch sudah tersedia dan bukti bahwa kerentanan itu sudah di bawah serangan masal oleh peretas, Equifax gagal mengupdate aplikasi Web-nya untuk mengatasi kerentanan tersebut, yang mengakibatkan pelanggaran data pribadi hampir setengah dari populasi AS.
CVE-2017-5638 adalah kerentanan zero-day yang ditemukan dalam framework aplikasi web Apache Struts populer oleh perusahaan intelijen ancaman Cisco, Talos, yang mengamati sejumlah serangan aktif yang memanfaatkan kerentanan tersebut.
Masalahnya adalah bug remote code execution di parser Jakarta Multipart Apache Struts2 yang memungkinkan penyerang mengeksekusi perintah berbahaya di server saat mengunggah file berdasarkan parser.
Perusahaan lain yang juga menggunakan versi Apache Struts 2 harus memeriksa infrastruktur mereka terhadap kerentanan ini.
