CVE-2024-46256 & CVE-2024-46257 – Simulation de PoC

Vue d'ensemble

Ce dépôt contient une preuve de concept (PoC) pas à pas, illustrée par des captures d'écran, simulant deux vulnérabilités dans Nginx Proxy Manager permettant une injection de commandes système (OS Command Injection), conduisant à une exécution de code à distance (RCE) après authentification.

• Produit concerné : Nginx Proxy Manager
• Version concernée : v2.11.3
• Impact : RCE authentifiée (observée avec les privilèges root dans le PoC)

Contenu

• POC.md : compte-rendu détaillé de l'analyse et des étapes d'exploitation, y compris les payloads et les observations.
• static/ : captures d'écran référencées par POC.md dans l'ordre où elles apparaissent.

Comment l'utiliser

1. Ouvrez POC.md pour suivre le récit de la simulation.
2. Chaque section référence des images provenant de static/ pour illustrer la configuration, la revue de code, l'exploitation et les résultats.

Notes et avertissement

• Le PoC est destiné uniquement à la recherche en sécurité, à des fins éducatives et défensives.
• Ne l'utilisez pas contre des systèmes qui ne vous appartiennent pas ou pour lesquels vous n'avez pas l'autorisation explicite de tester.
• Mettez toujours à jour vers les versions corrigées et appliquez les principes du moindre privilège.

Références

• Dépôt Nginx Proxy Manager : https://github.com/NginxProxyManager/nginx-proxy-manager
• CVE-2024-46256
• CVE-2024-46257