Equifax действительно взломали через баг в Apache Struts, но уязвимость оказалась старой

В конце прошлой недели стало известно о взломе компании Equifax и одной из самых масштабных и неприятных утечек данных за последние годы.

Тогда представители Equifax сообщили, что неизвестные злоумышленники завладели личной информацией 143 млн американцев (всего в США проживает 324 млн человек), включая номера социального страхования и водительских удостоверений, полные имена, адреса и так далее. Кроме того, в 209 000 случаях в документах также фигурировала информация о банковских картах пострадавших. Хотя сообщалось, что отделения Equifax в других странах не пострадали, известно, что утечка затронула неназванное количество жителей Канады и Великобритании.

О самой атаке было известно немного. Сообщалось, что неизвестные злоумышленники проникли на серверы бюро кредитных историй еще в мае 2017 года, но их присутствие оставалось незамеченным вплоть до конца июля 2017 года. Никаких подробностей представители Equifax не разглашали, кратко отмечая, что злоумышленники скомпрометировали некое веб-приложение.

СМИ и ИБ-эксперты немедленно принялись строить теории о том, как именно злоумышленники скомпрометировали одно из крупнейших бюро кредитных историй. Наиболее интересную и «складную» версию выдвинули представители портала QZ.com, принадлежащего Atlantic Media. Они писали, что хакеры могли использовать критическую уязвимость в Apache Struts (CVE-2017-9805), об обнаружении которой официально сообщили лишь на прошлой неделе, хотя баг присутствовал в коде девять лет.

В результате разработчики Apache Software Foundation вынуждены были выступить с официальным заявлением и попытались оправдаться. В официальном блоге появилось длинное послание, написанное вице-президентом Apache Struts, в котором тот подчеркивал, что доказательств использования бага CVE-2017-9805 пока нет. Также он акцентировал внимание на том, что эта проблема была выявлена исследователями только в июле 2017 года, тогда как взлом Equifax произошел в мае 2017 года. То есть даже если хакеры действительно эксплуатировали уязвимость, на тот момент она еще представляла собой 0-day.

Представители Equifax хранили молчание и, вплоть до сегодняшнего дня, 14 сентября 2017 года, никак не комментировали эти домыслы и догадки. Теперь на официальном сайте equifaxsecurity2017.com, посвященном инциденту, появилось обновление, согласно которому злоумышленники действительно скомпрометировали компанию через уязвимость в Apache Struts. Но, как оказалось, преступники эксплуатировали уязвимость CVE-2017-5638, а вовсе не свежую проблему CVE-2017-9805.

Баг CVE-2017-5638 был устранен еще в начале марта 2017 года, более того, в силу доступности эксплоитов его почти сразу стали активно использовать злоумышленники. Еще весной о необходимости срочной установки обновлений предупреждали не только сами разработчики Apache Struts, но и специалисты по безопасности, к примеру, ниже можно увидеть твит известного исследователя Кевина Бимонта.

If you run Apache Jakarta Struts, there's a public, working remote exploit being used in the wild now. Upgrade ASAP. https://t.co/yG3awqgXJL

— Kevin Beaumont (@GossiTheDog) March 8, 2017

Согласно официальным данным, взлом Equifax произошел в середине мая 2017 года. То есть у компании было два или более месяца на установку обновления, однако по какой-то причине этим никто не озаботился. Напомню, что ранее пресса и ИБ-специалисты уже выражали недовольство тем, как представители Equifax справляются с последствиями взлома и одной из худших утечек данных за последние годы. Вряд ли поток критики пойдет на спад теперь, когда представители бюро кредитных историй признали, что пострадали из-за бага, на устранение которого у них было более чем достаточно времени.

Источник