Télécharger les sites web qui utilisent mod_auth_pam

À propos de mod_auth_pam

Les modules serveur sont la partie d’une stack qu’un site web n’est pas censé afficher. mod_auth_pam est un module Apache qui confie l’authentification au système d’exploitation, si bien qu’une demande de page protégée est vérifiée auprès de la même infrastructure d’identité que celle qui gouverne les comptes shell, ce qui veut dire en pratique des utilisateurs Unix, un service d’annuaire ou un domaine Kerberos plutôt qu’une table de mots de passe web.

La raison de s’en servir est administrative plutôt que technique. Une organisation qui a une source unique de vérité pour l’identité ne veut pas en héberger une seconde à l’intérieur d’une application web, et le module existe donc pour éviter de tenir un référentiel de mots de passe parallèle. Un tel schéma relève des intranets, des outils internes, des panneaux d’administration et des systèmes universitaires bien plus que des sites commerciaux, ce qui veut dire qu’une détection signale souvent que le domaine n’est pas vraiment un produit public tout court.

L’âge compte ici. Le module date de 1998, il est écrit en C, il est publié sous licence GPL v2, et il est gelé de fait depuis longtemps. Un composant d’authentification qui se place sur le chemin de la requête et qui ne reçoit plus d’attention est en soi un fait pertinent pour la sécurité, indépendamment de la question de savoir s’il a jamais été mal configuré sur tel ou tel hôte.

La détection est inférentielle et la réserve est large. Un serveur ne révèle la liste de ses modules que lorsqu’il est configuré pour être bavard, par une signature de serveur trop bavarde, un gestionnaire de statut exposé, ou une page d’erreur par défaut que personne n’a remplacée, et tous les guides de durcissement de ces dernières années disent aux administrateurs de couper cela. En octobre 2026 nous relevons mod_auth_pam sur 1 260 hôtes, si bien que la population visible penche vers les machines restées bavardes plutôt que vers un type d’organisation particulier. Nos données de version sont maigres en conséquence, 2 chaînes distinctes au total, regroupées sur 1.1.1, ce qui est l’allure que prend d’ordinaire un logiciel qui a cessé de bouger.

Pour un inventaire de surface d’attaque, ce biais n’est pas rédhibitoire. Un chercheur qui cartographie les déploiements Apache hérités, un fournisseur qui vend la migration hors d’un chemin d’authentification non maintenu, et une équipe de sécurité qui vérifie si quoi que ce soit dans son propre parc lie encore l’accès web aux comptes système veulent tous le même objet, à savoir l’ensemble complet des hôtes où le module est visible, avec le reste de la stack derrière chacun d’eux. Classée dans la catégorie Web server extensions de notre catalogue, l’entrée est l’une des rares empreintes qui décrivent comment un site décide qui vous êtes. Une requête sur un seul nom d’hôte ne peut pas montrer un motif qui n’existe qu’à l’échelle agrégée.