Validation pentest — aubriot.ovh / editionsdubureau.ovh
Analyste : Kogami · sur rapport OSINT Sybil (28 oct. 2026) · mandat propriétaire : « aucune action destructive » · méthode : lecture seule + matching CVE sourcé
Verdict global — 2 CRIT 2 WARN 1 OK 1 INFO
| Surface | Verdict | Détail |
|---|
| NoMachine NX 9.1.24 — :4000 exposé nu | CRIT | CVE-2026-18264 (RCE getstat, TCP 4000) + CVE-2026-53694 (priv-esc) — chaîne complète |
| BIND 9.18.39 — :53 | CRIT* | CVE-2025-40778 (cache poisoning, CVSS 8.6, PoC public) — *si recursion actif |
| Apache 2.4.58 — :80/:443 | WARN | 9+ CVE 2023-2024 (SSRF, response splitting, DoS) — exploitabilité pratique faible |
| FTP — :21 en clair | WARN | Protocole non chiffré ; serveur non identifié (non testable ici) |
| editionsdubureau.ovh | INFO | Placeholder statique « Hello world », pas un WordPress vivant — corrige le C-03 du rapport |
| Hygiène web aubriot.ovh | OK | .git, .env, server-status/info, phpinfo, backups → tous 404/403 |
Scope (extrait du rapport — rien d'autre)
Cibles autorisées
aubriot.ovh → 142.44.218.120 (VPS OVH, Canada) + ns.gamerzcorp.eu (même IP)- Ports : 21 (FTP), 53 (BIND 9.18.39), 80/443 (Apache 2.4.58), 4000 (NoMachine NX 9.1.24)
editionsdubureau.ovh → 213.186.33.50 (OVH mutualisé)
Exclusions (primauté)
- Domicile, santé, finances, proches, données de breach
- Aucune machine découverte en plus
- Aucune action destructive (mandat)
Ce qui a changé depuis le rapport Sybil
- + NoMachine CRIT confirmé : le rapport voyait « ~80 CVE potentiellement applicables » (bruit Shodan). J'ai isolé deux CVE précises qui frappent 9.1.24, dont un RCE sur le port 4000 exposé.
- + BIND CRIT conditionnel : 9.18.39 est explicitement dans la liste des versions affectées par CVE-2025-40778, avec PoC public (le PoC tourne exactement sur Ubuntu 24.04 + BIND 9.18.39).
- − WordPress dégradé :
editionsdubureau.ovh n'est pas un WordPress en vie — tous les endpoints (wp-login, xmlrpc, wp-json, wp-admin, readme, wp-content) renvoient 404, et index.html est un titre « Hello world » vide. Placeholder statique.
- + OS confirmé : l'IP sert la « Apache2 Ubuntu Default Page » → Ubuntu 24.04 (cohérent avec Apache 2.4.58), et le vhost par défaut est encore actif.
Synthèse en une phrase
Le point d'entrée réel n'est pas le web (propre) : c'est NoMachine exposé nu sur le 4000 avec un RCE documenté, et un BIND vulnérable à un cache poisoning à PoC public. Les deux sont corrigeables, l'un par mise à jour, l'autre par retrait de l'exposition.