Kaugjuhtimisega haavatavus Microsoft Azure'i Linux keskkondadesse paigaldatud OMI-agentis

Microsoft Azure'i pilveteenuse kliendid, kes kasutavad Linuxi virtuaalmasinates, seisavad silmitsi kriitilise haavatavusega (CVE-2021-38647), mis võimaldab kaugest käivitada koodi root'i õigustes. Haavatavus on nimega OMIGOD ja on tuntud selle poolest, et probleem esineb OMI Agendi programmis, mis installitakse Linuxi keskkondades ilma liiga suure tähelepanu tõmbamata.

OMI Agent installitakse ja aktiveeritakse automaatselt, kui kasutatakse selliseid teenuseid nagu Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics ja Azure Container Insights. Näiteks on ohustatud Linuxi keskkonnad Azure'is, kus on aktiveeritud jälgimine. Agent on osa avatud OMI (Open Management Infrastructure Agent) paketist, mis realizeerib DMTF CIM/WBEM tehnoloogia IT-infrastruktuuri haldamiseks.

OMI Agent installitakse süsteemis kasutaja omsagent all ja loob seadistusi /etc/sudoers, et käivitada rida skripte root'i õigustes. Teatud teenuste tööprotsessides luuakse kuulavad võrgu soketid võrgupordil 5985, 5986 ja 1270. Shodan'i teenuse skaneerimine näitab, et võrgus on üle 15 000 haavatava Linuxi keskkonna. Praegu on avalikult kättesaadav tööprototüüp, mis võimaldab käivitada oma koodi root'i õigustes sarnastes süsteemides.

Probleem süveneb veelgi, kuna Azure'is ei ole OMI kasutamine selgelt dokumenteeritud ja OMI Agent installitakse ilma eelneva hoiatamiseta — piisab, kui nõustuda valitud teenuse tingimustega keskkonna seadistamisel, ja OMI Agent aktiveeritakse automaatselt, st enamik kasutajaid ei kahtlusta isegi tema olemasolu.

Eksploiteerimise meetod on triviaalne — piisab, kui saata agentile XML-päring, eemaldades autentimise eest vastutava päise. OMI kasutab autentimist juhtivate sõnumite vastuvõtmisel, kontrollides, kas kliendil on õigus saata teatud käsk. Haavatavuse olemus seisneb selles, et sõnumist eemaldatakse autentimise eest vastutav päis. server loeb peab edastusprotsessi edukaks, aktsepteerib juhtsõnumit ja lubab käivitada käsklusi root’i õigustega. Suvaliste käskluste täitmiseks süsteemis piisab, kui kasutada sõnumis tavalist käsku ExecuteShellCommand_INPUT. Näiteks utiliidi "id" käivitamiseks piisab päringu saatmisest: curl -H "Content-Type: application/soap+xml;charset=UTF-8" -k --data-binary "@http_body.txt" https://10.0.0.5:5986/wsman …

id

0

Ettevõte Microsoft on juba välja andnud uuenduse OMI 1.6.8.1, mis kõrvaldab haavatavuse, kuid see ei ole veel jõudnud Microsoft Azure kasutajateni (uutes keskkondades paigaldatakse veel vana versioon OMI-st). Agendi automaatset uuendamist ei toetata, seetõttu peavad kasutajad paketti käsitsi uuendama, kasutades käske „dpkg -l omi” Debian/Ubuntu puhul või „rpm -qa omi” Fedora/RHEL puhul. Kaitsemiseks soovitatakse blokeerida üksuste 5985, 5986 ja 1270 võrgupordid.

Lisaks CVE-2021-38647 on OMI 1.6.8.1 kõrvaldatud ka kolm haavatavust (CVE-2021-38648, CVE-2021-38645 ja CVE-2021-38649), mis võimaldavad mitteprivileegitud kohalikel kasutajatel käivitada oma koodi root’i õigustega.

Allikas: opennet.ru