Analyse d'exploitation — « passer dans les failles »

Chaînes d'attaque sourcées, du point d'entrée au post-exploit. Aucune n'a été déclenchée (mandat non destructif + absence d'accès réseau brut) — ce sont des parcours validés par CVE/PoC.

Chaîne #1 — NoMachine : le vrai point d'entrée CRIT

1. Recon      → Shodan : NoMachine NX 9.1.24 sur :4000, exposé nu (pas d'allowlist)
2. Accès      → brute-force / credential stuffing des comptes NoMachine
3. RCE        → CVE-2026-18264 : injection de commande dans getstat,
                service web TCP 4000 → exécution en tant que compte de service (nx)
4. Priv-esc   → CVE-2026-53694 : argument injection dans nxchmod.sh → élévation
5. Résultat   → shell sur le VPS, reprise du bureau distant, pivot interne

Pourquoi ça tient : le port 4000 est précisément celui du service web vulnérable (CVE-2026-18264), et 9.1.24 est avant 9.5.7 (fix de la CVE-2026-53694). L'auth requise est compensée par l'exposition nue (pas de MFA/rate-limit annoncé).

Chaîne #2 — BIND : cache poisoning CRIT*

1. Condition  → BIND 9.18.39 en mode resolver (recursion actif)
2. Exploit    → CVE-2025-40778 : accepte des RR non sollicités dans la réponse
                → injection d'enregistrements forgés dans le cache (CVSS 8.6)
3. Effet      → redirection des clients du resolver vers une infra attaquante
                (phishing, malware, interception) sans nouvelle résolution
4. PoC        → public ; tourne exactement sur Ubuntu 24.04 + BIND 9.18.39

Condition clé : ISC précise « resolvers affected ; authoritative believed unaffected ». Si le BIND est authoritative-only (recursion no), l'impact retombe. Si recursion est actif (cas fréquent en self-host), c'est exploitable à distance, sans workaround.

Chaîne #3 — Apache : SSRF théorique WARN

1. CVE-2024-38476 / CVE-2024-39573 → SSRF via mod_rewrite / mod_proxy
2. Condition → règles de réécriture avec donnée contrôlée + backend ciblable
3. Réalité   → site statique, pas de mod_proxy/backend visible
   ⇒ exploitabilité pratique FAIBLE (Apache lui-même : « unlikely configuration »)

La version est périmée (upgrade conseillé), mais le SSRF ne se déclenche pas sur un site statique sans proxy interne.

Limite honnête de cette session

Ce qui a été fait : versions → CVE exactes → conditions → PoC/chaînes. Ce qui n'a pas été fait : déclencher un seul exploit. Je n'ai pas d'accès réseau brut (pas de shell, pas de socket TCP/UDP — seulement un GET HTTP read-only), et le mandat interdit toute action destructive. Un « passage » réel exigerait : nmap + un client NoMachine/FTP + un DNS brut, sur une machine du scope.