Korisnici Microsoft Azure oblaka koji koriste Linux na virtualnim strojevima suočili su se s kritičnom ranjivošću (CVE-2021-38647) koja omogućava daljinsko izvođenje koda s root pravima. Ranjivost nosi kodno ime OMIGOD i značajna je jer je problem prisutan u aplikaciji OMI Agent koja se neprimjetno instalira u Linux okruženja.
OMI Agent se automatski instalira i aktivira prilikom korištenja usluga kao što su Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics i Azure Container Insights. Na primjer, Linux okruženja u Azuru koja imaju uključeno praćenje su podložna napadima. Agent je dio otvorenog paketa OMI (Open Management Infrastructure Agent) s implementacijom DMTF CIM/WBEM stoga za upravljanje IT infrastrukturom.
OMI Agent se instalira na sustavu pod korisnikom omsagent i kreira postavke u /etc/sudoers za pokretanje niza skripti s root pravima. Tijekom rada nekih usluga kreiraju se aktivni mrežni soketi na mrežnim portovima 5985, 5986 i 1270. Skeniranje u Shodan servisu pokazuje prisutnost više od 15 tisuća ranjivih Linux okruženja. Trenutno je u javnosti već dostupan radni prototip exploit-a koji omogućuje izvođenje vlastitog koda s root pravima na sličnim sustavima.
Problem se dodatno pogoršava time što Azure jasno ne dokumentira primjenu OMI i OMI Agent se instalira bez upozorenja — dovoljno je pristati na uvjete odabrane usluge prilikom postavljanja okruženja i OMI Agent će se automatski aktivirati, tj. većina korisnika nije ni svjesna njegove prisutnosti.
Metoda iskorištavanja je trivijalna — dovoljno je poslati XML zahtjev agentu, uklanjajući zaglavlje koje je odgovorno za autentifikaciju. OMI koristi autentifikaciju prilikom primanja upravljačkih poruka, provjeravajući ima li klijent pravo na slanje određene naredbe. Suština ranjivosti je da se uklanjanjem zaglavlja ‘Authentication’ u poruci, koje je odgovorno za autentifikaciju, server učvršćuje uspješan završetak provjere, prima upravljačku poruku i omogućava izvođenje komandi s root privilegijama. Da biste izvršili proizvoljne komande u sustavu, dovoljno je koristiti standardnu komandu ExecuteShellCommand_INPUT u poruci. Na primjer, za pokretanje alata „id” dovoljno je poslati zahtjev: curl -H "Content-Type: application/soap+xml;charset=UTF-8" -k --data-binary "@http_body.txt" https://10.0.0.5:5986/wsman …
id
0
Tvrtka Microsoft već je objavila ažuriranje OMI 1.6.8.1 koje otklanja ranjivost, ali ono još nije dostupno korisnicima Microsoft Azure (u novim okruženjima još uvijek se instalira stara verzija OMI). Automatsko ažuriranje agenta nije podržano, stoga korisnici moraju izvršiti ručno ažuriranje paketa koristeći komande „dpkg -l omi” u Debian/Ubuntu ili „rpm -qa omi” u Fedora/RHEL. Kao privremena zaštita preporučuje se blokirati pristup mrežnim portovima 5985, 5986 i 1270.
Osim CVE-2021-38647, OMI 1.6.8.1 također otklanja tri ranjivosti (CVE-2021-38648, CVE-2021-38645 i CVE-2021-38649) koje omogućavaju neprivilegiranom lokalnom korisniku da izvrši svoj kod s root privilegijama.
Izvor: opennet.ru
