{"id":101307,"date":"2021-09-17T10:22:35","date_gmt":"2021-09-17T08:22:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure"},"modified":"2021-09-17T10:22:35","modified_gmt":"2021-09-17T08:22:35","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure","title":{"rendered":"Remote ausnutzbare Sicherheitsanf\u00e4lligkeit im OMI-Agenten, der in Microsoft Azure-Linux-Umgebungen aufgezwungen wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Kunden der Cloud-Plattform Microsoft Azure, die Linux auf virtuellen Maschinen verwenden, sind mit einer kritischen Schwachstelle (CVE-2021-38647) konfrontiert, die eine remote Ausf\u00fchrung von Code mit Root-Rechten erm\u00f6glicht. Diese Schwachstelle mit dem Codenamen OMIGOD ist besonders bemerkenswert, da sie im OMI Agent auftritt, der unauff\u00e4llig in Linux-Umgebungen installiert wird. <\/p>\n
Der OMI Agent wird automatisch installiert und aktiviert, wenn Dienste wie Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics und Azure Container Insights genutzt werden. Beispielsweise sind Linux-Umgebungen in Azure, f\u00fcr die das Monitoring aktiviert ist, anf\u00e4llig f\u00fcr Angriffe. Der Agent ist Teil des offenen OMI-Pakets (Open Management Infrastructure Agent) mit einer Implementierung des DMTF CIM\/WBEM-Stacks zur Verwaltung von IT-Infrastruktur. <\/p>\n
Der OMI-Agent wird im System unter dem Benutzer omsagent installiert und erstellt Einstellungen in \/etc\/sudoers, um eine Reihe von Skripten mit Root-Rechten auszuf\u00fchren. W\u00e4hrend des Betriebs bestimmter Dienste werden Netzwerk-Sockets auf den Ports 5985, 5986 und 1270 ge\u00f6ffnet. Ein Scan mit dem Shodan-Dienst zeigt, dass es im Netzwerk \u00fcber 15.000 anf\u00e4llige Linux-Umgebungen gibt. Derzeit ist bereits ein funktionierender Exploit-Prototyp \u00f6ffentlich zug\u00e4nglich, der es erm\u00f6glicht, eigenen Code mit Root-Rechten auf solchen Systemen auszuf\u00fchren. <\/p>\n
Das Problem wird dadurch versch\u00e4rft, dass in Azure die Verwendung von OMI nicht klar dokumentiert ist und der OMI-Agent ohne Vorwarnung installiert wird \u2013 es gen\u00fcgt, den Bedingungen des gew\u00e4hlten Dienstes bei der Konfiguration der Umgebung zuzustimmen, und der OMI-Agent wird automatisch aktiviert. Das bedeutet, dass die meisten Benutzer nicht einmal von seiner Existenz wissen. <\/p>\n