{"id":101307,"date":"2021-09-17T10:22:35","date_gmt":"2021-09-17T08:22:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure"},"modified":"2021-09-17T10:22:35","modified_gmt":"2021-09-17T08:22:35","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure","title":{"rendered":"Vulnerabilit\u00e0 sfruttabile da remoto nell'agente OMI, imposto negli ambienti Linux di Microsoft Azure","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I clienti della piattaforma cloud Microsoft Azure che utilizzano Linux nelle macchine virtuali hanno riscontrato una vulnerabilit\u00e0 critica (CVE-2021-38647) che consente l'esecuzione remota di codice con diritti di root. Questa vulnerabilit\u00e0 \u00e8 stata battezzata OMIGOD ed \u00e8 interessante notare che il problema \u00e8 presente nell'applicazione OMI Agent, che viene installata in modo silenzioso negli ambienti Linux. <\/p>\n
L'agente OMI viene installato e attivato automaticamente quando si utilizzano servizi come Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics e Azure Container Insights. Ad esempio, gli ambienti Linux in Azure abilitati per il monitoraggio sono vulnerabili. L'agente fa parte del pacchetto open source OMI (Open Management Infrastructure Agent) con implementazione dello stack DMTF CIM\/WBEM per la gestione dell'infrastruttura IT. <\/p>\n
L'agente OMI viene installato nel sistema con l'utente omsagent e crea impostazioni in \/etc\/sudoers per eseguire una serie di script con diritti di root. Durante il funzionamento di alcuni servizi, vengono creati socket di rete in ascolto sulle porte 5985, 5986 e 1270. La scansione nel servizio Shodan mostra pi\u00f9 di 15.000 ambienti Linux vulnerabili nella rete. Attualmente, \u00e8 gi\u00e0 disponibile un prototipo di exploit funzionante che consente di eseguire il proprio codice con diritti di root su tali sistemi. <\/p>\n
Il problema \u00e8 aggravato dal fatto che in Azure non \u00e8 documentato chiaramente l'uso di OMI e l'agente OMI viene installato senza preavviso \u2014 basta accettare i termini del servizio selezionato durante la configurazione dell'ambiente e l'agente OMI verr\u00e0 attivato automaticamente, cio\u00e8 la maggior parte degli utenti non sospetta nemmeno della sua presenza. <\/p>\n