omigood (OM I GOOD?)

このリポジトリには、Wiz の脅威リサーチチームが発見した「OMIGOD」脆弱性の1つ、具体的には CVE-2021-38647 に対して脆弱な VM を検出する無料のスキャナが含まれています。

Wiz による元のブログ記事: https://www.wiz.io/blog/omigod-critical-vulnerabilities-in-omi-azure

概要

このスキャナは、Azure API に接続するための Azure 資格情報を必要とし、サブスクリプションとリソースグループを指定すると（デフォルトでは利用可能なすべてをスキャンします）、Linux VM の一覧を取得し、そのマシンが脆弱である可能性があるかどうかを報告します。

また、この目的のために Microsoft の公式ツールも確認してください: https://github.com/microsoft/OMS-Agent-for-Linux/tree/master/tools/OMIcheck

認証

Azure API に対する認証には、azure cli（デフォルト）と Interactive Browser 認証の両方がサポートされています。--auth コマンドラインパラメータを確認してください。

実行されるチェック

Linux マシン自体でコマンドを実行せずに、マシンが OMI に対して脆弱かどうかを判断する簡単な方法はありません。これは、拡張機能を介した RunShellScript コマンドを使用して Azure API 経由で実行できます。Microsoft の公式ツール（https://github.com/microsoft/OMS-Agent-for-Linux/tree/master/tools/OMIcheck）もこの方法を使用しています。

なお、VM が脆弱であっても、OMI サーバーが HTTP/HTTPS（デフォルト）で公開されていない可能性があり、公開されている場合でも、そのポートが Azure のネットワークセキュリティグループによってブロックされ、到達不能になっている可能性があります。これはパッチ適用を避ける理由にはなりませんが、脆弱な Linux VM が多数ある場合、どの VM がより露出しているかを把握し、対策の優先順位を決めるのに役立つかもしれません。

omigood はこのより包括的なアプローチに従い、攻撃対象領域を把握するためにコマンドラインオプションで実行できる多数のチェックを備えた JSON 出力を生成します。

omigood によって実行されるチェックは次のとおりです:

• VM が Linux で実行されているかどうかを Azure API に対して確認する
• VM が OMSAgentForLinux 拡張機能を実行しているかどうかを Azure API に対して確認する。これは、マシンが OMI も実行している可能性があるかどうかの良い手がかりになります。
• OMS Agent のバージョンを Azure API に対して確認する。OMS Agent のバージョンは OMI のバージョンと関連していることが多いためです。このチェックは VM 上でスクリプトを実行せずに行うことができます。OMS Agent は少なくともバージョン 1.13.40 である必要があります。実行するスクリプトは こちら で確認できます。
• VM のネットワークセキュリティグループを Azure API に対して確認し、OMI サーバーのポートが開いている可能性があるかどうかを判断する（誤検知を引き起こす可能性のある非常に単純なアルゴリズムを使用）。
• VM の有効なネットワークセキュリティグループ（ネットワークインターフェイスとサブネットの組み合わせ）を Azure API に対して確認し、OMI サーバーのポートが開いている可能性があるかどうかを判断する。このチェックはオプションであり、VM が実行中であること、より高い API 権限が必要であり、実行により多くの時間がかかります。-e コマンドラインオプションで有効にします。
• Azure API を使用して VM 上で単純な bash スクリプトを実行し、OMI サーバーが実行されているかどうか、そのバージョン、UNIX ソケット（デフォルト）でのみ公開されているか、TCP でも公開されているかを判断します。このチェックはオプションであり、VM が実行中であること、より高い API 権限が必要であり、実行により多くの時間がかかります。-r コマンドラインオプションで有効にします。自己責任で使用してください！
• /usr/bin/id コマンドを実行して、マシンのパブリック IP への攻撃を試みます。このチェックはオプションであり、VM の悪用を試みることを伴います。-a コマンドラインオプションで有効にします。テストを許可されたターゲットにのみ使用してください。自己責任で使用してください！

出力

生成された JSON 出力ファイルには、スキャンされた VM に関するすべての情報（ID、オペレーティングシステム、ネットワークセキュリティグループ、電源状態など）が含まれます。

チェックに関連するフラグ（'YES'/'NO'）は次のとおりです:

• check_oms_extension: VM で OMS Agent 拡張機能が見つかった場合は YES。
• check_oms_vulnerable: OMS Agent 拡張機能のバージョンが 1.13.40 より低い場合は YES。
• check_permissive_rules: ネットワークセキュリティグループのルールが OMI ポートへの接続を許可していると思われる場合は YES。
• check_permissive_effective_rules: 有効なセキュリティルールが OMI ポートへの接続を許可していると思われる場合は YES。-e コマンドラインオプションでのみ。
• check_omi_vulnerable: スクリプトで取得した OMI サーバーのバージョンが 1.6.8-1 より低いと判断された場合は YES。-r コマンドラインオプションでのみ。
• check_omi_listening_on_tcp: スクリプトで取得した OMI サーバーのステータスが、UNIX ソケットだけでなく TCP でも待ち受けしていると判断された場合は YES。-r コマンドラインオプションでのみ。
• check_attack_successful: VM のパブリック IP への攻撃が成功した場合は YES。-r コマンドラインオプションでのみ。

使用方法

usage: omigood_scanner.py [-h] [-v] [--auth {azurecli,interactivebrowser}] [-r] [-a] [-e] [-s SUBSCRIPTIONS]
                          [-g RESOURCEGROUPS] [-m VMS] -o OUTPUT

OMIGood scanner for CVE-2021-38647

optional arguments:
  -h, --help            show this help message and exit
  -v, --verbose         [OPTIONAL] Verbose mode: Displays additional debug details.
  --auth {azurecli,interactivebrowser}
                        Authentication mode. Default: azurecli.
  -r, --runscript       [OPTIONAL] Run Script. Runs bash script on target VMs to check for OMI server, agent and
                        version. Disabled by default. Use at your own risk.
  -a, --attack          [OPTIONAL] Try to attack the host. Disabled by default. Use at your own risk.
  -e, --effective       [OPTIONAL] Check Effective Security Rules. Disabled by default. Requires higher permissions on
                        Azure.
  -s SUBSCRIPTIONS, --subscriptions SUBSCRIPTIONS
                        [OPTIONAL] Comma separate list of subscriptions IDs. If not specified, it will try all.
  -g RESOURCEGROUPS, --resourcegroups RESOURCEGROUPS
                        [OPTIONAL] Comma separated list of Resource Group names. If not specified, it will try all. If
                        specified, it will work only with a single subscription provided.
  -m VMS, --vms VMS     [OPTIONAL] Comma separated list of VM names. If not specified, it will try all. If specified,
                        it will work only with a single subscription and a single resource group provided.
  -o OUTPUT, --output OUTPUT
                        JSON output file with results.

貢献者

• Marco Simioni
• Francesco Vigo
• Giordano Bianchi

免責事項

このリポジトリで提供されるソフトウェアおよびコードサンプルは、明示的または黙示的を問わず、いかなる種類の保証もなく「現状のまま」提供されます。自己責任で使用してください。