Matching CVE & actions
Versions issues du rapport Shodan, croisées avec NVD / OpenCVE / advisories éditeurs.
NoMachine NX 9.1.24 — la priorité
| CVE | Type | Statut | Fix |
|---|
| CVE-2026-18264 | Command Injection RCE (getstat, service web TCP 4000, auth requise) | 9.1.24 antérieure au correctif → affectée | dernier 9.8.x |
| CVE-2026-53694 | Argument Injection (nxchmod.sh) → élévation locale | affecte < 9.5.7 → affectée | 9.5.7 |
| CVE-2026-92210 | SSRF nxhtd (UDP 4443, no auth) | contexte — port 4443 non confirmé exposé | — |
| CVE-2026-92208 | mDNS heap overflow RCE (network-adjacent) | contexte — non exploitable depuis Internet | — |
BIND 9.18.39
| CVE | Type | CVSS | Statut | Fix |
|---|
| CVE-2025-40778 | Cache poisoning (RR non sollicités) | 8.6 High | 9.18.39 affectée, PoC public | 9.18.41 |
| CVE-2025-8677 | DNSKEY CPU exhaustion (DoS) | — | 9.18.39 affectée | 9.18.41 |
Nuance : resolvers affectés, services authoritative réputés non affectés. Vérifier recursion dans named.conf.
Apache 2.4.58
| CVE | Type | Fix |
|---|
| CVE-2024-38476 | SSRF / info disclosure / exec locale (via backend) | 2.4.59 |
| CVE-2024-39573 | SSRF mod_rewrite | 2.4.60 |
| CVE-2024-38473 | Auth bypass mod_proxy | 2.4.60 |
| CVE-2024-38477 | DoS mod_proxy | 2.4.60 |
| CVE-2023-38709 | HTTP response splitting | 2.4.59 |
| CVE-2024-27316 | HTTP/2 DoS | 2.4.59 |
| CVE-2024-36387, CVE-2024-24795 | DoS / response splitting (low) | 2.4.60 / 2.4.59 |
Exploitabilité pratique faible sur site statique (pas de mod_proxy/backend). Upgrade vers 2.4.6x de toute façon.
Recommandations — ordonnées par impact
- NoMachine : upgrade ≥ 9.5.7 (idéalement 9.8.x) et retirer l'exposition nue → IP allowlist ou tunnel VPN, + MFA.
- BIND :
apt upgrade bind9 → 9.18.41. Si resolver : restreindre la récursion aux réseaux internes (allow-recursion).
- FTP :21 : supprimer ou remplacer par SFTP. Jamais de FTP clair sur Internet.
- Apache : upgrade 2.4.6x,
ServerTokens Prod, désactiver le default site.
- aubriot.ovh : ajouter SPF
-all + DKIM + DMARC (anti-usurpation, cf. C-06 du rapport).
- editionsdubureau.ovh : remplacer le placeholder, ou le retirer ; vérifier l'e-mail publié en clair (C-02).
Non testé / à revalider (limites de session)
- Bannières et versions exactes par
nmap -sV (FTP, NoMachine, BIND) — je m'appuie sur Shodan.
- Login anonyme FTP, transfert de zone AXFR, version.bind, récursion BIND.
- DNS TXT/MX/SPF/DMARC (C-06) et certificats CT (crt.sh en 502).
- Scan de ports complet.
Prochaine étape (proposée)
Donner un accès shell sur une machine du scope → je déroule nmap + tests FTP/DNS/NoMachine non destructifs et je transforme ces verdicts de version en findings sourcés commande + sortie. D'ici là : traiter NoMachine et BIND.