omigood (BIN ICH GUT?)

Dieses Repository enthält einen kostenlosen Scanner, um VMs zu erkennen, die anfällig für eine der „OMIGOD“-Schwachstellen sind, die vom Bedrohungsforschungsteam von Wiz entdeckt wurden, insbesondere CVE-2021-38647.

Original-Blogbeitrag von Wiz: https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure

Übersicht

Der Scanner benötigt Azure-Anmeldeinformationen, um eine Verbindung zu den Azure-APIs herzustellen, und ruft für ein bestimmtes Abonnement und eine Ressourcengruppe (oder standardmäßig für alle verfügbaren) die Liste der Linux-VMs ab und meldet, ob die Maschine möglicherweise verwundbar ist.

Schauen Sie sich auch unbedingt das eigene Tool von Microsoft für diesen Zweck an: https://github.com/microsoft/OMS-Agent-for-Linux/tree/master/tools/OMIcheck

Authentifizierung

Um sich gegenüber den Azure-APIs zu authentifizieren, werden sowohl die azure cli (Standard) als auch die interaktive Browser-Authentifizierung unterstützt; siehe den Befehlszeilenparameter --auth.

Durchgeführte Prüfungen

Es gibt keine einfache Möglichkeit festzustellen, ob Ihre Maschinen anfällig für OMI sind, ohne Befehle auf der Linux-Maschine selbst auszuführen. Dies wird über Azure-APIs mithilfe des Befehls RunShellScript über eine Erweiterung unterstützt. Auch das eigene Tool von Microsoft (https://github.com/microsoft/OMS-Agent-for-Linux/tree/master/tools/OMIcheck) verwendet diesen Ansatz.

Beachten Sie, dass eine VM selbst dann, wenn sie verwundbar ist, den OMI-Server möglicherweise nicht über HTTP/HTTPS bereitstellt (was der Standard ist), und selbst wenn dies der Fall ist, könnten diese Ports von den Network Security Groups von Azure blockiert und daher nicht erreichbar sein. Das ist kein Grund, das Patchen zu vermeiden, aber wenn Sie viele verwundbare Linux-VMs haben, kann es nützlich sein zu wissen, welche stärker exponiert sind, um Ihre Bemühungen zu priorisieren.

omigood folgt diesem umfassenderen Ansatz und erzeugt eine JSON-Ausgabe mit einer Reihe von Prüfungen, die Sie über Befehlszeilenoptionen auslösen können, um Ihre Angriffsfläche zu bestimmen.

Dies sind die von omigood durchgeführten Prüfungen:

• Prüft über die Azure-API, ob die VM Linux ausführt.
• Prüft über die Azure-API, ob auf der VM die OMSAgentForLinux-Erweiterung ausgeführt wird, ein guter Hinweis darauf, ob die Maschine möglicherweise auch OMI ausführt.
• Prüft über die Azure-API die Version des OMS-Agents, da diese oft mit der OMI-Version korreliert. Diese Prüfung kann ohne Ausführen eines Skripts auf der VM durchgeführt werden. Der OMS-Agent sollte mindestens Version 1.13.40 haben. Sie können sich das von uns ausgeführte Skript hier ansehen.
• Prüft über die Azure-API die Network Security Groups der VM und ermittelt (mit einem sehr einfachen Algorithmus, der Fehlalarme auslösen kann), ob die OMI-Serverports möglicherweise offen sind.
• Prüft über die Azure-API die effektiven Network Security Groups der VM (Kombination aus Netzwerkschnittstelle und Subnetz) und ermittelt, ob die OMI-Serverports möglicherweise offen sind. Diese Prüfung ist optional, da sie erfordert, dass die VM ausgeführt wird, höhere API-Berechtigungen erfordert und mehr Zeit in Anspruch nimmt. Aktivieren Sie sie mit der Befehlszeilenoption -e.
• Verwendet die Azure-API, um ein einfaches Bash-Skript auf der VM auszuführen, das feststellt, ob der OMI-Server läuft, welche Version er hat und ob er nur über UNIX-Socket (Standard) oder auch über TCP exponiert ist. Diese Prüfung ist optional, da sie erfordert, dass die VM ausgeführt wird, höhere API-Berechtigungen erfordert und mehr Zeit in Anspruch nimmt. Aktivieren Sie sie mit der Befehlszeilenoption -r. Nutzung auf eigene Gefahr!
• Versucht, die öffentliche IP der Maschine mit dem Befehl /usr/bin/id anzugreifen. Diese Prüfung ist optional, da sie den Versuch beinhaltet, die VM auszunutzen. Aktivieren Sie sie mit der Befehlszeilenoption -a. Verwenden Sie sie nur auf Zielen, für die Sie autorisiert sind, Tests durchzuführen. Nutzung auf eigene Gefahr!

Ausgabe

Die erzeugte JSON-Ausgabedatei enthält alle Informationen zu den gescannten VMs: IDs, Betriebssystem, Network Security Groups, Betriebszustand usw.

Die relevanten Flags ('YES'/'NO') für die Prüfungen sind:

• check_oms_extension: YES, wenn die OMS-Agent-Erweiterung auf der VM gefunden wird.
• check_oms_vulnerable: YES, wenn die Version der OMS-Agent-Erweiterung niedriger als 1.13.40 ist.
• check_permissive_rules: YES, wenn die Regeln der Network Security Group Verbindungen zu OMI-Ports zu erlauben scheinen.
• check_permissive_effective_rules: YES, wenn die effektiven Sicherheitsregeln Verbindungen zu OMI-Ports zu erlauben scheinen. Nur mit der Befehlszeilenoption -e.
• check_omi_vulnerable: YES, wenn die OMI-Serverversion per Skript abgerufen und als niedriger als 1.6.8-1 eingestuft wurde. Nur mit der Befehlszeilenoption -r.
• check_omi_listening_on_tcp: YES, wenn der OMI-Serverstatus per Skript abgerufen wurde und festgestellt wurde, dass der Server auf TCP und nicht nur auf UNIX-Sockets lauscht. Nur mit der Befehlszeilenoption -r.
• : , wenn der Angriff auf die öffentliche IP der VM erfolgreich war. Nur mit der Befehlszeilenoption .

Verwendung

usage: omigood_scanner.py [-h] [-v] [--auth {azurecli,interactivebrowser}] [-r] [-a] [-e] [-s SUBSCRIPTIONS]
                          [-g RESOURCEGROUPS] [-m VMS] -o OUTPUT

OMIGood scanner for CVE-2021-38647

optional arguments:
  -h, --help            show this help message and exit
  -v, --verbose         [OPTIONAL] Verbose mode: Displays additional debug details.
  --auth {azurecli,interactivebrowser}
                        Authentication mode. Default: azurecli.
  -r, --runscript       [OPTIONAL] Run Script. Runs bash script on target VMs to check for OMI server, agent and
                        version. Disabled by default. Use at your own risk.
  -a, --attack          [OPTIONAL] Try to attack the host. Disabled by default. Use at your own risk.
  -e, --effective       [OPTIONAL] Check Effective Security Rules. Disabled by default. Requires higher permissions on
                        Azure.
  -s SUBSCRIPTIONS, --subscriptions SUBSCRIPTIONS
                        [OPTIONAL] Comma separate list of subscriptions IDs. If not specified, it will try all.
  -g RESOURCEGROUPS, --resourcegroups RESOURCEGROUPS
                        [OPTIONAL] Comma separated list of Resource Group names. If not specified, it will try all. If
                        specified, it will work only with a single subscription provided.
  -m VMS, --vms VMS     [OPTIONAL] Comma separated list of VM names. If not specified, it will try all. If specified,
                        it will work only with a single subscription and a single resource group provided.
  -o OUTPUT, --output OUTPUT
                        JSON output file with results.

Mitwirkende

• Marco Simioni
• Francesco Vigo
• Giordano Bianchi

HAFTUNGSAUSSCHLUSS

Die auf diesem Repository verfügbare Software und die Codebeispiele werden „wie besehen“ ohne jegliche ausdrückliche oder stillschweigende Gewährleistung bereitgestellt. Nutzung auf eigene Gefahr.