Kunder af Microsoft Azures cloud-platform, der bruger Linux i virtuelle maskiner, står over for en kritisk sårbarhed (CVE-2021-38647), der muliggør fjernudførelse af kode med root-rettigheder. Sårbarheden har kodename OMIGOD og er bemærkelsesværdig, fordi problemet findes i OMI Agent-applikationen, som skamfuldt installeres i Linux-miljøer.
OMI Agent installeres og aktiveres automatisk ved brug af tjenester som Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics og Azure Container Insights. For eksempel er Linux-miljøer i Azure, hvor overvågning er aktiveret, sårbare for angreb. Agenten er en del af den åbne pakke OMI (Open Management Infrastructure Agent) med implementering af DMTF CIM/WBEM-stakken til styring af IT-infrastruktur.
OMI Agent installeres i systemet under brugeren omsagent og opretter indstillinger i /etc/sudoers for at eksekvere en serie skripter med root-rettigheder. Under driften af visse tjenester oprettes lytte-netværkssokler på netværksportene 5985, 5986 og 1270. En scanning i Shodan viser, at der er over 15.000 sårbare Linux-miljøer online. I øjeblikket er der allerede offentliggjort en fungerende prototyp af exploit, der gør det muligt at udføre egen kode med root-rettigheder på sådanne systemer.
Problemet forværres af, at brugen af OMI i Azure ikke er tydeligt dokumenteret, og OMI Agent installeres uden varsel - det er tilstrækkeligt at acceptere betingelserne for den valgte tjeneste under opsætningen af miljøet, og OMI Agent aktiveres automatisk, dvs. de fleste brugere er slet ikke klar over dets eksistens.
Eksploiteringsmetoden er triviel - det er tilstrækkeligt at sende et XML-forespørgsel til agenten ved at fjerne den header, der er ansvarlig for autentificering. OMI bruger autentificering ved modtagelse af styresignaler, der kontrollerer, at klienten har ret til at sende en bestemt kommando. Sårbarhedens essens er, at fjernelsen af headeren 'Authentication', der er ansvarlig for autentificering, server Når den anses for at bestå testen, accepterer den styringsbeskeden og tillader udførelse af kommandoer med root-rettigheder. For at udføre vilkårlige kommandoer i systemet er det tilstrækkeligt at bruge den almindelige kommando ExecuteShellCommand_INPUT i beskeden. For eksempel, for at starte værktøjet „id“, skal du blot sende anmodningen: curl -H "Content-Type: application/soap+xml;charset=UTF-8" -k --data-binary "@http_body.txt" https://10.0.0.5:5986/wsman …
id
0
Microsoft har allerede udgivet opdateringen OMI 1.6.8.1, der adresserer sårbarheden, men den er endnu ikke nået ud til brugerne af Microsoft Azure (i nye miljøer installeres der stadig den gamle version af OMI). Automatisk opdatering af agenten understøttes ikke, så brugerne skal manuelt opdatere pakken ved hjælp af kommandoerne „dpkg -l omi“ i Debian/Ubuntu eller „rpm -qa omi“ i Fedora/RHEL. Som en midlertidig beskyttelsesforanstaltning anbefales det at blokere adgangen til netværksportene 5985, 5986 og 1270.
Udover CVE-2021-38647 er der også rettet tre sårbarheder i OMI 1.6.8.1 (CVE-2021-38648, CVE-2021-38645 og CVE-2021-38649), som giver en ikke-privilegeret lokal bruger mulighed for at udføre sin kode med root-rettigheder.
Kilde: opennet.ru
