Matching CVE & plan d'action

Versions issues du rapport Sybil/Shodan, croisées avec NVD / ISC / Apache (sources liées).

Apache HTTP Server 2.4.58

CVE	Sévérité	Impact	Corrigé en
`CVE-2024-38476`	important	Info disclosure / SSRF / exécution locale via en-têtes backend	2.4.60
`CVE-2024-39573`	moderate	SSRF via mod_rewrite	2.4.60
`CVE-2024-38473`	moderate	Bypass d'auth via encodage mod_proxy	2.4.60
`CVE-2024-38477`	important	DoS (null deref) mod_proxy	2.4.60
`CVE-2023-38709`	moderate	HTTP response splitting (core)	2.4.59
`CVE-2024-27316`	moderate	DoS HTTP/2 (épuisement mémoire)	2.4.59
`CVE-2024-24795` / `CVE-2024-36387`	low	Response splitting / DoS WebSocket HTTP/2	2.4.59 / 2.4.60

Source : httpd.apache.org/security/vulnerabilities_24.html. Branche courante : 2.4.69 (oct. 2026).

BIND 9.18.39

CVE	Sévérité	Impact	Corrigé en
`CVE-2025-40778`	High · CVSS 8.6	Cache poisoning via RR non sollicités (résolveur)	9.18.41
`CVE-2025-8677`	—	Épuisement CPU via DNSKEY malformé	9.18.41

Source : kb.isc.org/docs/cve-2025-40778. Exploitable à distance, off-path, sans auth.

NoMachine NX 9.1.24

Pas de CVE distant précis confirmé publiquement sur 9.1.24, mais version de juil. 2025 et branche 10.x déjà publiée avec correctifs « server-side components and web sessions ». Le risque dominant n'est pas un CVE précis : c'est l'exposition nue d'un bureau à distance. Référence croisée : CVE-2023-48795 (Terrapin, SSH) apparaît dans la base de patchs NoMachine — à vérifier si ce build embarque un SSH affecté.

Recommandations (par impact)

#	Action	Priorité
1	Restreindre NoMachine :4000 : IP allowlist (`ufw`/`iptables`) ou VPN/WireGuard, + mise à jour NX	CRIT
2	Fermer ou remplacer FTP :21 par SFTP/FTPS	CRIT
3	BIND → 9.18.41 (ou +) ; confirmer rôle autoritaire vs récursif	WARN
4	Apache → 2.4.6x/2.4.69 ; désactiver `server_tokens`	WARN
5	Finaliser ou retirer le WordPress « Hello world »	WARN
6	Ajouter SPF/DKIM/DMARC sur `aubriot.ovh`	WARN

Non testé — et pourquoi

Contraintes d'environnement rencontrées (documentées pour transparence) :

FTP :21, NoMachine :4000, BIND :53 — pas d'accès TCP brut (pas de nmap/nc, egress proxy filtré par domaine).
Scan de ports / versions par bannière — versions reprises du rapport Shodan, à reconfirmer côté opérateur.
DNS TXT/MX/SPF/DMARC — résolution DNS de l'atelier cassée, DoH JSON refusé par l'outil de fetch.
Certificats CT (C-07) — crt.sh en 502 (service flaky).

Aucune authentification tentée, aucun téléchargement, aucun write. Aucun token engagé.

Prochaine étape logique

Pour transformer les verdicts de version en findings 100 % sourcés (bannière + sortie), il faut exécuter les sondes sur une machine du scope : nmap -sV -p 21,53,80,443,4000 142.44.218.120, dig @142.44.218.120 aubriot.ovh AXFR, nmap -p 21 --script ftp-anon. En attendant : fermer le 4000 et le 21 est l'action immédiate.