{"id":101307,"date":"2021-09-17T10:22:35","date_gmt":"2021-09-17T08:22:35","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure"},"modified":"2021-09-17T10:22:35","modified_gmt":"2021-09-17T08:22:35","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-omi-agente-navyazyvaemom-v-linux-okruzheniyah-microsoft-azure","title":{"rendered":"Afstandelijk ge\u00ebxploiteerde kwetsbaarheid in de OMI-agent, opgelegd in Linux-omgevingen van Microsoft Azure","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Klanten van het cloudplatform Microsoft Azure die Linux gebruiken in virtuele machines, hebben te maken gehad met een kritieke kwetsbaarheid (CVE-2021-38647) die het mogelijk maakt om op afstand code uit te voeren met root-rechten. De kwetsbaarheid heeft de codenaam OMIGOD gekregen en is opmerkelijk omdat het probleem aanwezig is in de OMI Agent-applicatie, die zonder enige aankondiging in Linux-omgevingen wordt ge\u00efnstalleerd. <\/p>\n
De OMI Agent wordt automatisch ge\u00efnstalleerd en geactiveerd bij het gebruik van diensten zoals Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics en Azure Container Insights. Bijvoorbeeld, Linux-omgevingen in Azure waaraan monitoring is ingeschakeld, zijn kwetsbaar voor aanvallen. De agent maakt deel uit van het open OMI-pakket (Open Management Infrastructure Agent) dat de DMTF CIM\/WBEM-stack implementeert voor IT-infrastructuurbeheer. <\/p>\n
De OMI Agent wordt op het systeem ge\u00efnstalleerd onder de gebruiker omsagent en cre\u00ebert instellingen in \/etc\/sudoers om een reeks scripts met root-rechten uit te voeren. Tijdens de werking van sommige diensten worden luisterende netwerk sockets op de netwerkpoorten 5985, 5986 en 1270 aangemaakt. Scans in de Shodan-service tonen aan dat er meer dan 15.000 kwetsbare Linux-omgevingen in het netwerk zijn. Op dit moment is er al een werkend prototype van een exploit openbaar beschikbaar dat het mogelijk maakt om je eigen code met root-rechten op dergelijke systemen uit te voeren. <\/p>\n
Het probleem wordt verergerd doordat de toepassing van OMI in Azure duidelijk niet gedocumenteerd is en de OMI Agent zonder waarschuwing wordt ge\u00efnstalleerd \u2014 het is voldoende om akkoord te gaan met de voorwaarden van de gekozen service tijdens het instellen van de omgeving en de OMI Agent wordt automatisch geactiveerd, wat betekent dat de meeste gebruikers zich niet bewust zijn van het bestaan ervan. <\/p>\n