Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !
Vulnerability-Management — NGINX Durcissement de la Sécurité & Analyse de Remédiation des Vulnérabilités des CVE critiques (CVE-2021-23017, failles DoS HTTP/2) dans les versions NGINX obsolètes, avec des étapes concrètes d’atténuation : mises à niveau, durcissement HTTP/2 et automatisation des correctifs. Inclut la validation des scans Nessus et des stratégies de surveillance proactive. | Kitploit
NGINX Durcissement de la Sécurité & Analyse de Remédiation des Vulnérabilités des CVE critiques (CVE-2021-23017, failles DoS HTTP/2) dans les versions NGINX obsolètes, avec des étapes concrètes d’atténuation : mises à niveau, durcissement HTTP/2 et automatisation des correctifs. Inclut la validation des scans Nessus et des stratégies de surveillance proactive.
Partager
Rapport de gestion des vulnérabilités
Préparé pour : CyberTech Solutions
Préparé par : Victoria Simon
Date : 10 avril 2024
1. Résumé exécutif
Ce rapport présente les résultats d'une évaluation complète des vulnérabilités réalisée sur l'infrastructure Linux et les applications web de CyberTech Solutions à l'aide de Nessus. L'évaluation comprenait :
Scans authentifiés des serveurs Linux
Scans de vulnérabilités d'applications web
Configuration de rapports automatisés
Gestion des correctifs via Ansible
Les principales conclusions incluent des vulnérabilités critiques dans Nginx et des versions obsolètes d'OpenSSH. Des recommandations immédiates de correctifs et de durcissement de la sécurité sont fournies.
2. Objectifs du laboratoire
Effectuer des scans de vulnérabilités authentifiés sur les systèmes Linux.
Identifier et analyser les vulnérabilités des applications web.
Configurer Nessus pour les rapports par e-mail automatisés.
Corriger les vulnérabilités à l'aide d'Ansible.
Documenter les résultats pour examen par les parties prenantes.
Configuration de Nessus avec les identifiants SSH (nom d'utilisateur : root, mot de passe : kali).
Activation de l'élévation de privilèges via su.
Résultats du scan :
scanned ssh vulnerability score
RECOMMANDATIONS
Suite au scan authentifié et à l'évaluation des vulnérabilités sur le serveur Linux et les applications hébergées, les étapes de correction suivantes sont recommandées pour améliorer la posture de sécurité de l'organisation :
Mise à jour des systèmes et logiciels :
• Mettez à niveau OpenSSH vers la dernière version sécurisée pour corriger les vulnérabilités connues.
• Appliquez les derniers correctifs du noyau Linux, y compris les mises à jour urgentes telles que CVE-2022-0185.
• Mettez à niveau Node.js vers la version 18.20.1 ou ultérieure pour atténuer les risques tels que le détournement de requêtes, l'aléatoire non sécurisé et les vulnérabilités de gestion de la mémoire (par exemple, CVE-2024-27980, CVE-2024-21891, CVE-2024-21892).
• Activez les mises à jour automatiques des correctifs ou intégrez un système centralisé de gestion des correctifs pour garantir l'application rapide des correctifs de sécurité.
Durcissement du service SSH :
• Désactivez les algorithmes SSH faibles, les chiffrements (par exemple, CBC, Arcfour) et les MAC.
• Imposez l'authentification par clé et désactivez la connexion par mot de passe lorsque c'est possible.
• Configurez un port SSH personnalisé et restreignez l'accès SSH à l'aide de règles de pare-feu ou de wrappers TCP.
• Limitez l'accès à des IP spécifiques et mettez en place une authentification à deux facteurs (2FA) pour les connexions distantes.
Contrôle des utilisateurs et des accès :
• Désactivez la connexion root via SSH ; utilisez sudo pour l'élévation de privilèges.
• Supprimez les comptes utilisateurs inutilisés ou obsolètes et appliquez des politiques de mots de passe forts.
• Mettez en place des mécanismes de verrouillage de compte pour empêcher les attaques par force brute.
• Auditez les groupes d'utilisateurs et les privilèges pour garantir l'application du moindre privilège.
Durcissement de l'hôte et du réseau :
• Désactivez les services inutiles et fermez les ports inutilisés.
• Utilisez des outils de durcissement comme Lynis, OpenSCAP ou CIS Benchmarks pour appliquer les bonnes pratiques.
• Implémentez des règles de pare-feu pour limiter l'exposition réseau et empêcher les mouvements latéraux.
Surveillance, journalisation et détection :
• Activez la journalisation détaillée pour SSH, sudo et les événements système.
• Intégrez les journaux avec une plateforme SIEM pour une surveillance et des alertes en temps réel.
• Surveillez les comportements suspects et les schémas d'accès anormaux.
Sécurité des applications et des dépendances :
• Exécutez npm audit ou yarn audit pour scanner et corriger les dépendances Node.js.
• Testez régulièrement les applications avec des outils d'analyse dynamique et statique (DAST/SAST).
• Utilisez un pare-feu d'application web (WAF) pour bloquer les attaques web connues.
Sauvegarde et récupération :
• Planifiez des sauvegardes régulières des configurations et des données critiques.
• Testez périodiquement les procédures de reprise après sinistre et de restauration des sauvegardes.
Sensibilisation à la sécurité et gouvernance :
• Organisez des formations régulières à la sécurité pour les administrateurs système et les développeurs.
• Maintenez à jour les politiques de sécurité, les procédures et la documentation des actifs.
• Effectuez des évaluations périodiques des vulnérabilités et des tests de pénétration pour rester proactif.
Tâche 2 : Scan d'applications web
Vulnérabilités Nginx :
CVE-2021-23017 (CVSS 7.5) : Débordement de tampon dans Nginx 1.15.5.
Exploit : Déni de service distant via une requête conçue.
Utilisation d'un mot de passe d'application Gmail pour l'authentification.
E-mail de test envoyé avec succès aux parties prenantes.
nessus sent an email. meaning, it worked perfectly.
Tâche 4 : Gestion des correctifs
Playbook Ansible :
Suppression de Nginx obsolète (/usr/local/nginx).
Installation de la dernière version de Nginx (apt: name=nginx state=latest).
.yml script to update the old version of Nginx
Résultat : Mise à niveau de Nginx 1.15.5 vers 1.26.3.
5. Analyse et résultats
Vulnérabilités clés identifiées
1. Versions NGINX obsolètes
CVE-2021-23017 : Écrasement mémoire d'un octet dans le résolveur DNS (risque : RCE/plantages).
Exploits HTTP/2 :
CVE-2019-9511, CVE-2019-9513, CVE-2019-9516 : Déni de service via manipulation de trames.
CVE-2018-16843, CVE-2018-16844, CVE-2018-16845 : Attaques par épuisement CPU/mémoire.
CVE-2019-20372 : Divulgation de version de serveur via les en-têtes HTTP (fuite d'informations).
2. Résultats de plusieurs plugins Nessus
ID de plugins : 150154, 127907, 118956, 134220 confirment des versions NGINX non prises en charge/vulnérables.
Risques clés :
Les systèmes non corrigés sont susceptibles de subir des ransomwares et des violations de données.
Les vulnérabilités web exposent les données clients à l'interception.
6. Actions critiques pour la correction de la sécurité NGINX
Mettre à niveau NGINX vers la dernière version stable (≥1.20.1)
Pourquoi ? Atténue :
CVE-2021-23017 (corruption mémoire du résolveur DNS)
Vulnérabilités DoS HTTP/2 (CVE-2019-9511, CVE-2018-16843, etc.)
Divulgation de version de serveur (CVE-2019-20372).
Action :
Sauvegarder les configurations (nginx.conf), puis mettre à niveau à l'aide des dépôts officiels NGINX.
Vérifier la version après mise à niveau : nginx -v.
Désactiver ou durcir HTTP/2
Si HTTP/2 n'est pas nécessaire :
Désactiver dans la configuration NGINX (listen 443 ssl au lieu de listen 443 ssl http2).
Si nécessaire :
S'assurer que NGINX est patché (après mise à niveau).
Surveiller les journaux pour détecter un trafic HTTP/2 anormal (par exemple, flux/trames rapides).
Mettre en place une gestion des correctifs
Automatiser les mises à jour : Utiliser des outils comme unattended-upgrades (Linux) ou Ansible.
Planifier des audits : Vérifications mensuelles des mises à jour des paquets NGINX/OS.
Vérifier les correctifs avec une nouvelle analyse Nessus
Relancer Nessus (ID de plugins : 150154, 127907, etc.) pour confirmer :
La version NGINX n'est plus signalée.
Les CVE HTTP/2 (si activées) sont corrigées.
Étapes de durcissement supplémentaires
Masquer la version NGINX : Ajouter server_tokens off; dans nginx.conf.
Limiter les méthodes HTTP : Autoriser uniquement GET, POST, HEAD si applicable.
Surveiller les bases de données CVE : S'abonner aux avis de sécurité NGINX.
Calendrier :
Immédiat (24-48h) : Mettre à niveau NGINX, désactiver HTTP/2 (si possible).
Suivi (1 semaine) : Déploiement de la gestion des correctifs + nouvelle analyse.
Post-correction : Documenter les changements et mettre à jour les plans de réponse aux incidents pour inclure les scénarios d'exploitation HTTP/2/NGINX.
7. Défis et solutions
Défi
Solution
Installation des plugins Nessus
Je n'ai pas pu augmenter ma RAM, j'ai donc dû attendre plus longtemps pour installer les plugins après de nombreuses heures et tentatives infructueuses
Échecs des e-mails SMTP
Mot de passe d'application Gmail généré
Erreurs de playbook Ansible
Syntaxe YAML vérifiée avec ansible-lint
8. Conclusion
L'évaluation a identifié des vulnérabilités critiques dans l'infrastructure web de CyberTech en raison de versions obsolètes de NGINX et de CVE non corrigées, exposant l'organisation à des attaques DoS, à des corruptions mémoire et à des divulgations d'informations. Pour faire face à ces risques, des mises à niveau immédiates, un durcissement de HTTP/2 et une gestion automatisée des correctifs sont essentiels.
Une analyse de suivi doit être effectuée après la correction pour valider les correctifs. Le maintien d'une posture de sécurité proactive grâce à des mises à jour et une surveillance régulières permettra d'atténuer les menaces futures et d'assurer une résilience à long terme.
cybervixy/vulnerability-management
