Klanten van het cloudplatform Microsoft Azure die Linux gebruiken in virtuele machines, hebben te maken gehad met een kritieke kwetsbaarheid (CVE-2021-38647) die het mogelijk maakt om op afstand code uit te voeren met root-rechten. De kwetsbaarheid heeft de codenaam OMIGOD gekregen en is opmerkelijk omdat het probleem aanwezig is in de OMI Agent-applicatie, die zonder enige aankondiging in Linux-omgevingen wordt geĆÆnstalleerd.
De OMI Agent wordt automatisch geĆÆnstalleerd en geactiveerd bij het gebruik van diensten zoals Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics en Azure Container Insights. Bijvoorbeeld, Linux-omgevingen in Azure waaraan monitoring is ingeschakeld, zijn kwetsbaar voor aanvallen. De agent maakt deel uit van het open OMI-pakket (Open Management Infrastructure Agent) dat de DMTF CIM/WBEM-stack implementeert voor IT-infrastructuurbeheer.
De OMI Agent wordt op het systeem geĆÆnstalleerd onder de gebruiker omsagent en creĆ«ert instellingen in /etc/sudoers om een reeks scripts met root-rechten uit te voeren. Tijdens de werking van sommige diensten worden luisterende netwerk sockets op de netwerkpoorten 5985, 5986 en 1270 aangemaakt. Scans in de Shodan-service tonen aan dat er meer dan 15.000 kwetsbare Linux-omgevingen in het netwerk zijn. Op dit moment is er al een werkend prototype van een exploit openbaar beschikbaar dat het mogelijk maakt om je eigen code met root-rechten op dergelijke systemen uit te voeren.
Het probleem wordt verergerd door het feit dat OMI in Azure duidelijk niet is gedocumenteerd en de OMI Agent zonder waarschuwing wordt geĆÆnstalleerd ā het is voldoende om akkoord te gaan met de voorwaarden van de gekozen dienst tijdens de configuratie van de omgeving en de OMI Agent zal automatisch worden geactiveerd, d.w.z. de meeste gebruikers zijn zich niet eens bewust van het bestaan ervan.
De exploitatiemethode is triviaal ā het is voldoende om een XML-verzoek naar de agent te sturen, waarbij de header die verantwoordelijk is voor authenticatie wordt verwijderd. OMI gebruikt authenticatie bij het ontvangen van besturingsberichten, waarbij wordt gecontroleerd of de klant toestemming heeft om een bepaalde opdracht te verzenden. De essentie van de kwetsbaarheid is dat bij het verwijderen van de header 'Authentication' in het bericht, verantwoordelijk voor de authenticatie, server beschouwt het doorlopen van de controle als succesvol, accepteert het stuurbericht en staat de uitvoering van opdrachten met root-rechten toe. Voor het uitvoeren van willekeurige opdrachten in het systeem is het voldoende om in het bericht de standaardopdracht ExecuteShellCommand_INPUT te gebruiken. Bijvoorbeeld, om de āidā utility te starten, moet je de volgende aanvraag indienen: curl -H "Content-Type: application/soap+xml;charset=UTF-8" -k --data-binary "@http_body.txt" https://10.0.0.5:5986/wsman ā¦
id
0
Microsoft heeft al een update OMI 1.6.8.1 uitgebracht die de kwetsbaarheid oplost, maar deze is nog niet beschikbaar voor Microsoft Azure-gebruikers (in nieuwe omgevingen wordt voorlopig de oude versie van OMI geĆÆnstalleerd). Automatische update van de agent wordt niet ondersteund, daarom moeten gebruikers het pakket handmatig bijwerken met de commando's "dpkg -l omi" in Debian/Ubuntu of "rpm -qa omi" in Fedora/RHEL. Als omweg voor bescherming wordt aanbevolen om toegang tot de netwerkpoorten 5985, 5986 en 1270 te blokkeren.
Naast CVE-2021-38647 zijn in OMI 1.6.8.1 ook drie kwetsbaarheden opgelost (CVE-2021-38648, CVE-2021-38645 en CVE-2021-38649) die een niet-geprivilegieerde lokale gebruiker in staat stellen om zijn eigen code met root-rechten uit te voeren.
Bron: opennet.ru
