🌐 295 IP en brute-force coordonné sur Tomcat Manager : attaque à la truelle contre les serveurs mal ficelés

Le 5 juin 2025, The Hacker News a révélé une attaque de brute-force synchronisé impliquant 295 adresses IPcontre des instances Apache Tomcat Manager exposées sur Internet. Derrière ce chiffre brut, c’est une réalité cyber bien familière qui se dessine : des infrastructures mal configurées, des ports trop ouverts, des mots de passe trop simples, et un laisser-aller encore trop répandu sur des composants critiques.

📌 Périmètre concerné : Apache Tomcat Manager dans le viseur

Le Tomcat Manager est un outil intégré à Apache Tomcat qui permet de déployer, désinstaller, arrêter et redémarrer des applications web Java via une interface web. Puissant, mais dangereux quand il est mal protégé.

Les cibles principales :

• Instances Tomcat exposées sur Internet, sans restriction IP ou pare-feu.
• Interfaces Tomcat Manager accessibles sans authentification forte, parfois avec des identifiants par défaut (oui, encore en 2025).
• Serveurs n’ayant pas de système de détection ou de limitation des tentatives d’accès.

🎯 Objectif des attaquants : accès total au serveur

L’attaque est un brute-force distribué : chaque IP teste un petit nombre de combinaisons d’identifiants, pour éviter les détections classiques basées sur le volume d’échecs par IP. En coordonnant 295 IP, les assaillants réalisent un balayage massif, mais dilué.

Le but est clair :

• Accéder au Tomcat Manager.
• Uploader une WebShell ou un fichier WAR malveillant.
• Prendre la main sur le serveur, pivoter, exfiltrer, persister.

⚠️ Risques pour les organisations exposées

Les conséquences d’un succès de ce type d’attaque sont lourdes :

🛠️ Recommandations : sécuriser enfin son Tomcat (et son sommeil)

Soyons clairs : Tomcat exposé sur Internet + Tomcat Manager accessible = faille béante.

Voici les actions prioritaires à appliquer immédiatement :

1. Filtrer les accès réseau

• Restreindre l’accès à /manager/html par IP ou VPN.
• Bloquer l’accès public si le manager n’est pas absolument nécessaire.

2. Changer les identifiants par défaut

• Utiliser des mots de passe forts (>= 16 caractères, aléatoires).
• Éviter les noms d’utilisateur comme admin, tomcat, manager, etc.

3. Activer l’authentification forte

• Intégrer le manager à un annuaire central sécurisé (LDAP, Kerberos).
• Si possible, ajouter un second facteur d’authentification (MFA).

4. Surveiller les logs et échecs d’authentification

• Activer les logs détaillés d’accès au manager (access_log, catalina.out, etc.).
• Mettre en place une corrélation d’IP suspectes dans un SIEM ou via des scripts maison.

5. Automatiser les réactions

• Installer Fail2Ban ou équivalent sur les logs Tomcat.
• Utiliser un IDS/IPS réseau pour détecter les attaques distribuées.

🔍 Pour aller plus loin : la chasse aux Tomcat négligés

Si vous êtes RSSI, admin système ou même simple devops bienveillant, voici quelques outils utiles :

• Shodan ou Censys : pour repérer vos Tomcat exposés (et ceux des autres).
• nmap --script=http-enum : détecte les interfaces Tomcat Manager.
• whatweb, httpx, ou aquatone : pour cartographier l’exposition.

Et pour l’amour de vos nuits, désactivez le manager si vous ne l’utilisez pas.

🧩 Conclusion : mieux vaut sécuriser à la truelle que creuser sa tombe

Cette attaque n’est pas exceptionnelle par sa méthode, mais par son ampleur coordonnée et sa facilité d’exécution. Elle rappelle, une fois encore, qu’un outil d’administration laissé ouvert est plus une porte qu’une interface.

À ceux qui lisent cet article en sueur parce qu’ils n’ont pas vérifié leurs serveurs Tomcat depuis 2018 : il est temps. Et à ceux qui pensent que personne ne viendra taper sur leur pauvre serveur de dev Java : 295 IP vous prouvent le contraire.

🔐 TL;DR

• 295 IP ont lancé une attaque brute-force coordonnée sur Tomcat Manager.
• Objectif : prise de contrôle via fichiers WAR ou WebShell.
• Recommandations : restreindre l’accès, durcir l’authentification, surveiller les logs, automatiser la réaction.

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com