Blog pour novembre, 2018

Les Technologies de l’information souhaitent informer les responsables informatiques qu’un avis de sécurité affectant le module « Commons FileUpload » du logiciel Apache Struts2 (versions 2.3.36 et moins) a été publié. À noter que la branche « 2.5 » des versions 2.5.12  et plus n’est pas affectée par cette vulnérabilité.

Cette faille majeure permet à des systèmes malveillants de téléverser, sans authentification, des fichiers vers un système vulnérable et d’y exploiter du code à distance.

Veuillez noter qu’une mise à jour pour le module « Commons FileUpload » est disponible et doit être effectuée manuellement afin de corriger la faille.

Si vous disposez d’un logiciel libre ou commercial qui utilise la technologie Apache Struts2, veuillez vous référer au site de l’éditeur afin de vérifier la disponibilité des correctifs de sécurité ou des mises à jour pour votre système.

Les détails concernant cette faille sont disponibles aux liens suivants :

• Publication de l'avis de sécurité pour le module "Commons FileUpload"
• https://www.tenable.com/security/research/tra-2016-12

Pour toutes questions d’ordre technique, veuillez communiquer avec l’équipe Sécurité des Technologies de l’information, par courriel à l’adresse « securite@umontreal.ca ».

Les Technologies de l’information vous remercient de votre collaboration.