Klienti cloudovej platformy Microsoft Azure, ktorí používajú Linux vo virtuálnych strojoch, čelili kritickej zraniteľnosti (CVE-2021-38647), ktorá umožňuje vzdialené vykonanie kódu s právami root. Zraniteľnosť dostala kódové meno OMIGOD a je pozoruhodná tým, že problém existuje v aplikácii OMI Agent, ktorá sa bez zbytočného rozruchu inštaluje do linuxových prostredí.
OMI Agent sa automaticky inštaluje a aktivuje pri používaní takých služieb, ako sú Azure Automation, Azure Automatic Update, Azure Operations Management Suite, Azure Log Analytics, Azure Configuration Management, Azure Diagnostics a Azure Container Insights. Napríklad, na útoky sú náchylné linuxové prostredia v Azure, pre ktoré je povolené monitorovanie. Agent je súčasťou otvoreného balíka OMI (Open Management Infrastructure Agent) s implementáciou zásobníka DMTF CIM/WBEM na správu IT infraštruktúry.
OMI Agent sa inštaluje do systému pod používateľom omsagent a vytvára nastavenia v /etc/sudoers na spúšťanie série skriptov s právami root. V procese činnosti niektorých služieb sa vytvárajú posluchové sieťové zásuvky na sieťových portoch 5985, 5986 a 1270. Skenovanie v službe Shodan ukazuje prítomnosť viac ako 15 000 zraniteľných linuxových prostredí. V súčasnosti je už vo verejnom prístupe umiestnený funkčný prototyp exploitu, ktorý umožňuje vykonať svoj kód s právami root na podobných systémoch.
Problém sa zhoršuje tým, že v Azure nie je jasne dokumentované použitie OMI a OMI Agent sa inštaluje bez varovania — stačí súhlasiť s podmienkami zvolenej služby pri nastavení prostredia a OMI Agent bude automaticky aktivovaný, t. j. väčšina používateľov ani netuší o jeho prítomnosti.
Metóda zneužitia je triviálna — stačí poslať k agentovi XML požiadavku, pričom odstránite hlavičku zodpovedajúcu za autentifikáciu. OMI používa autentifikáciu pri prijímaní riadiacich správ, pričom overuje, že klient má právo posielať konkrétnu príkaz. Podstata zraniteľnosti spočíva v tom, že pri odstránení v správe hlavičky "Authentication", zodpovedajúcej za autentifikáciu, server považuje prechod kontroly za úspešný, prijíma riadiacu správu a povoľuje vykonávanie príkazov s právami root. Na vykonávanie ľubovoľných príkazov v systéme stačí použiť v správe štandardný príkaz ExecuteShellCommand_INPUT. Napríklad, na spustenie nástroja „id“ stačí poslať požiadavku: curl -H "Content-Type: application/soap+xml;charset=UTF-8" -k --data-binary "@http_body.txt" https://10.0.0.5:5986/wsman …
id
0
Spoločnosť Microsoft už vydala aktualizáciu OMI 1.6.8.1, ktorá odstraňuje zraniteľnosť, avšak ešte nebola distribuovaná používateľom Microsoft Azure (v nových prostrediach sa zatiaľ inštaluje staršia verzia OMI). Automatická aktualizácia agenta nie je podporovaná, preto je potrebné, aby používatelia vykonali aktualizáciu balíka manuálne pomocou príkazov „dpkg -l omi“ v Debian/Ubuntu alebo „rpm -qa omi“ v Fedora/RHEL. Ako obchádzajúce opatrenie sa odporúča zablokovať prístup k sieťovým portom 5985, 5986 a 1270.
Okrem CVE-2021-38647 v OMI 1.6.8.1 boli odstránené aj tri zraniteľnosti (CVE-2021-38648, CVE-2021-38645 a CVE-2021-38649), ktoré umožňujú neprivilegovanému lokálnemu používateľovi vykonať svoj kód s právami root.
Zdroj: opennet.ru
