I clienti della piattaforma cloud Microsoft Azure che utilizzano Linux nelle macchine virtuali hanno riscontrato una vulnerabilità critica (CVE-2021-38647) che consente l'esecuzione remota di codice con diritti di root. La vulnerabilità, denominata OMIGOD, è notevole perché il problema si trova nell'applicazione OMI Agent, che viene installata silenziosamente negli ambienti Linux.
OMI Agent viene installato e attivato automaticamente quando si utilizzano servizi come Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics e Azure Container Insights. Ad esempio, gli ambienti Linux in Azure che hanno il monitoraggio abilitato sono vulnerabili agli attacchi. L'agente fa parte del pacchetto open source OMI (Open Management Infrastructure Agent) che implementa lo stack DMTF CIM/WBEM per la gestione delle infrastrutture IT.
L'agente OMI si installa nel sistema sotto l'utente omsagent e crea impostazioni in /etc/sudoers per eseguire una serie di script con i diritti di root. Durante il funzionamento di alcuni servizi, vengono creati socket di rete su porte 5985, 5986 e 1270. La scansione nel servizio Shodan mostra la presenza di oltre 15.000 ambienti Linux vulnerabili in rete. Attualmente è già disponibile un prototipo funzionante di exploit, che consente di eseguire codice con diritti di root su tali sistemi.
Il problema è aggravato dal fatto che in Azure non è documentato chiaramente l'uso di OMI e l'agente OMI si installa senza preavviso: è sufficiente accettare le condizioni del servizio selezionato durante la configurazione dell'ambiente e l'agente OMI verrà attivato automaticamente, il che significa che la maggior parte degli utenti non sospetta nemmeno della sua esistenza.
Il metodo di sfruttamento è semplice: basta inviare una richiesta XML all'agente, rimuovendo l'intestazione responsabile dell'autenticazione. OMI utilizza l'autenticazione quando riceve messaggi di controllo, verificando che il cliente abbia il diritto di inviare un comando specifico. La vulnerabilità consiste nel fatto che, rimuovendo nell'intestazione del messaggio 'Authentication', responsabile dell'autenticazione, un server si considera il superamento del controllo come riuscito, accetta il messaggio di controllo e consente l'esecuzione di comandi con diritti di root. Per eseguire comandi arbitrari nel sistema, è sufficiente utilizzare il comando standard ExecuteShellCommand_INPUT nel messaggio. Ad esempio, per avviare l'utilità 'id', è sufficiente inviare la richiesta: curl -H 'Content-Type: application/soap+xml;charset=UTF-8' -k --data-binary '@http_body.txt' https://10.0.0.5:5986/wsman …
id
0
Microsoft ha già rilasciato l'aggiornamento OMI 1.6.8.1 per risolvere la vulnerabilità, ma non è ancora stato distribuito agli utenti di Microsoft Azure (nelle nuove configurazioni, è ancora installata la vecchia versione di OMI). L'auto-aggiornamento dell'agente non è supportato, pertanto gli utenti devono aggiornare manualmente il pacchetto utilizzando i comandi «dpkg -l omi» in Debian/Ubuntu o «rpm -qa omi» in Fedora/RHEL. Come misura precauzionale di sicurezza, si consiglia di bloccare l'accesso alle porte di rete 5985, 5986 e 1270.
Oltre alla CVE-2021-38647, in OMI 1.6.8.1 sono state risolte tre vulnerabilità (CVE-2021-38648, CVE-2021-38645 e CVE-2021-38649) che consentono a un utente locale non privilegiato di eseguire il proprio codice con privilegi di root.
Fonte: opennet.ru
