Microsoft Azure-ന്റെ Linux പരിതസ്ഥിതികളിൽ ചുമത്തിയ OMI ഏജന്റിലെ വിദൂരമായി ചൂഷണം ചെയ്യാവുന്ന ദുർബലത

വിർച്വൽ മെഷീനുകളിൽ Linux ഉപയോഗിക്കുന്ന Microsoft Azure ക്ലൗഡ് പ്ലാറ്റ്‌ഫോമിന്റെ ഉപഭോക്താക്കൾക്ക് റൂട്ട് റൈറ്റ്‌സ് ഉപയോഗിച്ച് റിമോട്ട് കോഡ് എക്‌സിക്യൂഷൻ അനുവദിക്കുന്ന ഒരു ഗുരുതരമായ കേടുപാടുകൾ (CVE-2021-38647) നേരിട്ടു. ഈ അപകടസാധ്യതയ്ക്ക് OMIGOD എന്ന കോഡ് നാമം നൽകിയിരിക്കുന്നു, കൂടാതെ ലിനക്സ് പരിതസ്ഥിതികളിൽ നിശബ്ദമായി ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള OMI ഏജന്റ് ആപ്ലിക്കേഷനിലാണ് പ്രശ്നം ഉള്ളത് എന്നത് ശ്രദ്ധേയമാണ്.

Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics, Azure Container Insights തുടങ്ങിയ സേവനങ്ങൾ ഉപയോഗിക്കുമ്പോൾ OMI ഏജന്റ് സ്വയമേവ ഇൻസ്റ്റാൾ ചെയ്യുകയും സജീവമാക്കുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, മോണിറ്ററിംഗ് പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്ന അസ്യൂറിലെ Linux പരിതസ്ഥിതികൾ ആക്രമണത്തിന് വിധേയമാണ്. ഐടി ഇൻഫ്രാസ്ട്രക്ചർ മാനേജ്മെന്റിനായി DMTF CIM/WBEM സ്റ്റാക്ക് നടപ്പിലാക്കുന്ന ഓപ്പൺ OMI (ഓപ്പൺ മാനേജ്മെന്റ് ഇൻഫ്രാസ്ട്രക്ചർ ഏജന്റ്) പാക്കേജിന്റെ ഭാഗമാണ് ഏജന്റ്.

OMI ഏജന്റ് സിസ്റ്റത്തിൽ omsagent ഉപയോക്താവിന് കീഴിൽ ഇൻസ്റ്റാൾ ചെയ്യുകയും റൂട്ട് അവകാശങ്ങളുള്ള സ്ക്രിപ്റ്റുകളുടെ ഒരു പരമ്പര പ്രവർത്തിപ്പിക്കുന്നതിന് /etc/sudoers-ൽ ക്രമീകരണങ്ങൾ സൃഷ്ടിക്കുകയും ചെയ്യുന്നു. ചില സേവനങ്ങളുടെ പ്രവർത്തന സമയത്ത്, നെറ്റ്‌വർക്ക് പോർട്ടുകൾ 5985, 5986, 1270 എന്നിവയിൽ ലിസണിംഗ് നെറ്റ്‌വർക്ക് സോക്കറ്റുകൾ സൃഷ്ടിക്കപ്പെടുന്നു. ഷോഡാൻ സേവനത്തിലെ സ്കാൻ ചെയ്യുന്നത് നെറ്റ്‌വർക്കിൽ 15 ആയിരത്തിലധികം ദുർബലമായ ലിനക്സ് പരിതസ്ഥിതികളുടെ സാന്നിധ്യം കാണിക്കുന്നു. നിലവിൽ, ചൂഷണത്തിന്റെ ഒരു വർക്കിംഗ് പ്രോട്ടോടൈപ്പ് ഇതിനകം പൊതുവായി ലഭ്യമാണ്, അത്തരം സിസ്റ്റങ്ങളിൽ റൂട്ട് അവകാശങ്ങളോടെ നിങ്ങളുടെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

OMI-യുടെ ഉപയോഗം Azure-ൽ വ്യക്തമായി രേഖപ്പെടുത്തിയിട്ടില്ല എന്നതും മുന്നറിയിപ്പില്ലാതെ OMI ഏജന്റ് ഇൻസ്റ്റാൾ ചെയ്തിരിക്കുന്നതും പ്രശ്നം കൂടുതൽ വഷളാക്കുന്നു - പരിസ്ഥിതി സജ്ജീകരിക്കുമ്പോൾ തിരഞ്ഞെടുത്ത സേവനത്തിന്റെ നിബന്ധനകൾ നിങ്ങൾ അംഗീകരിക്കേണ്ടതുണ്ട്, OMI ഏജന്റ് സ്വയമേവ സജീവമാക്കി, അതായത്. മിക്ക ഉപയോക്താക്കൾക്കും അതിന്റെ സാന്നിധ്യത്തെക്കുറിച്ച് അറിയില്ല.

ചൂഷണ രീതി നിസ്സാരമാണ് - പ്രാമാണീകരണത്തിന് ഉത്തരവാദിയായ തലക്കെട്ട് നീക്കം ചെയ്ത്, ഏജന്റിന് ഒരു XML അഭ്യർത്ഥന അയയ്ക്കുക. നിയന്ത്രണ സന്ദേശങ്ങൾ ലഭിക്കുമ്പോൾ OMI പ്രാമാണീകരണം ഉപയോഗിക്കുന്നു, ഒരു പ്രത്യേക കമാൻഡ് അയയ്‌ക്കാനുള്ള അവകാശം ക്ലയന്റിനുണ്ടെന്ന് പരിശോധിച്ചുറപ്പിക്കുന്നു. പ്രാമാണീകരണത്തിന് ഉത്തരവാദിയായ “പ്രാമാണീകരണ” തലക്കെട്ട് സന്ദേശത്തിൽ നിന്ന് നീക്കം ചെയ്യുമ്പോൾ, സെർവർ പരിശോധന വിജയകരമാണെന്ന് കണക്കാക്കുകയും നിയന്ത്രണ സന്ദേശം സ്വീകരിക്കുകയും റൂട്ട് അവകാശങ്ങൾ ഉപയോഗിച്ച് കമാൻഡുകൾ നടപ്പിലാക്കാൻ അനുവദിക്കുകയും ചെയ്യുന്നു എന്നതാണ് ദുർബലതയുടെ സാരം. സിസ്റ്റത്തിൽ അനിയന്ത്രിതമായ കമാൻഡുകൾ എക്സിക്യൂട്ട് ചെയ്യുന്നതിന്, സന്ദേശത്തിലെ സാധാരണ ExecuteShellCommand_INPUT കമാൻഡ് ഉപയോഗിച്ചാൽ മതി. ഉദാഹരണത്തിന്, “ഐഡി” യൂട്ടിലിറ്റി സമാരംഭിക്കുന്നതിന്, ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുക: curl -H “ഉള്ളടക്ക-തരം: ആപ്ലിക്കേഷൻ/സോപ്പ്+xml;charset=UTF-8” -k —data-binary “@http_body.txt” https: //10.0.0.5. 5986:3/wsman ... ഐഡി 2003

മൈക്രോസോഫ്റ്റ് ഇതിനകം തന്നെ OMI 1.6.8.1 അപ്‌ഡേറ്റ് പുറത്തിറക്കിയിട്ടുണ്ട്, അത് അപകടസാധ്യത പരിഹരിക്കുന്നു, പക്ഷേ ഇത് ഇതുവരെ Microsoft Azure ഉപയോക്താക്കൾക്ക് കൈമാറിയിട്ടില്ല (OMI-യുടെ പഴയ പതിപ്പ് ഇപ്പോഴും പുതിയ പരിതസ്ഥിതികളിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്). ഓട്ടോമാറ്റിക് ഏജന്റ് അപ്‌ഡേറ്റുകൾ പിന്തുണയ്ക്കുന്നില്ല, അതിനാൽ ഉപയോക്താക്കൾ ഡെബിയൻ/ഉബുണ്ടുവിലെ "dpkg -l omi" അല്ലെങ്കിൽ Fedora/RHEL-ൽ "rpm -qa omi" എന്ന കമാൻഡുകൾ ഉപയോഗിച്ച് മാനുവൽ പാക്കേജ് അപ്‌ഡേറ്റ് നടത്തണം. ഒരു സുരക്ഷാ പരിഹാരമെന്ന നിലയിൽ, നെറ്റ്‌വർക്ക് പോർട്ടുകൾ 5985, 5986, 1270 എന്നിവയിലേക്കുള്ള ആക്‌സസ് തടയാൻ ശുപാർശ ചെയ്യുന്നു.

CVE-2021-38647 ന് പുറമേ, OMI 1.6.8.1 മൂന്ന് കേടുപാടുകൾ പരിഹരിക്കുന്നു (CVE-2021-38648, CVE-2021-38645, കൂടാതെ CVE-2021-38649) അത് ഒരു പ്രത്യേകാവകാശമില്ലാത്ത പ്രാദേശിക ഉപയോക്താവിനെ റൂട്ട് കോഡ് ആയി മാറ്റാൻ അനുവദിക്കുന്നു.

അവലംബം: opennet.ru