CVE-2021-38645
Microsoft Open Management Infrastructure (OMI) Privilege Escalation Vulnerability
Beschreibung
CVE-2021-38645 ist eine schwerwiegende Rechteausweitung-Schwachstelle in Microsoft Open Management Infrastructure (OMI) innerhalb der Azure VM Management Extensions mit einem CVSS-3.1-Score von 7.8. Die Schwachstelle ermöglicht es einem lokalen Angreifer mit niedrigen Berechtigungen, seine Rechte auf dem betroffenen System auszuweiten. OMI ist ein Open-Source-CIM-Management-Agent, der auf Azure-Linux-VMs eingesetzt wird, und diese Schwachstelle war Teil des umfassenden "OMIGOD"-Schwachstellenclusters, der im September 2021 offengelegt wurde. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Der EPSS-Score von 0.14607 (94,37. Perzentile) belegt eine hohe reale Ausnutzungswahrscheinlichkeit und erfordert eine priorisierte Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | azure automation state configuration | - |
| microsoft | azure automation update management | - |
| microsoft | azure diagnostics \(lad\) | - |
| microsoft | azure security center | - |
| microsoft | azure sentinel | - |
| microsoft | azure stack hub | - |
| microsoft | container monitoring solution | - |
| microsoft | log analytics agent | - |
| microsoft | open management infrastructure | < 1.6.8-1 |
| microsoft | system center operations manager | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38645(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38645(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38645(US Government Resource)
Schwachstellentyp
Nicht spezifizierter Schwachstellentyp
CVE-2021-38645 hat keine offiziell zugewiesene CWE-Klassifizierung. Die Schwachstelle betrifft eine lokale Rechteausweitung im Open Management Infrastructure (OMI)-Agenten, der auf Azure-Linux-VMs ausgeführt wird. OMI verarbeitet eingehende Management-Anfragen, und Fehler in der Berechtigungsvalidierung ermöglichten es authentifizierten lokalen Benutzern, Operationen mit erhöhten Rechten auszuführen.
Diese Schwachstelle ist Teil der "OMIGOD"-Familie von Schwachstellen, die im September 2021 offengelegt wurden und gemeinsam Millionen von Azure-Linux-VMs betrafen. Der Rechteausweitungsmechanismus nutzt Schwächen in der Art und Weise aus, wie OMI lokale Anfragen validiert und verarbeitet, wodurch Angreifer mit initialem Systemzugang ihre Berechtigungen auf Root-Ebene ausweiten können.
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer erhöhten Zugriff auf sensible Daten des betroffenen Systems, einschließlich Zugangsdaten, Konfigurationsdateien, Verschlüsselungsschlüssel und potenziell Daten anderer mit der kompromittierten VM verbundener Azure-Dienste.
Integrität (HIGH): Mit erhöhten Berechtigungen können Angreifer kritische Systemdateien modifizieren, persistente Backdoors installieren, Sicherheitskonfigurationen ändern, Protokolle manipulieren oder zusätzliche Malware in der Umgebung einschleusen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des betroffenen Systems ist möglich, einschließlich Denial-of-Service, Systemabstürze, Datenzerstörung oder das Unbrauchbarmachen der virtuellen Maschine und ihrer gehosteten Dienste.
Scope: Der Scope ist Unchanged (U), was bedeutet, dass die Auswirkungen auf die verwundbare OMI-Komponentenumgebung beschränkt sind. Da OMI jedoch mit erhöhten Rechten auf Azure-Linux-VMs läuft, bedeutet eine Kontrolle über OMI effektiv eine vollständige Systemkompromittierung.
Mit einem EPSS-Score von 0.14607 (94,37. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten und erfordert dringende Maßnahmen.
Exploit-Reifegrad
Exploit-Status: CVE-2021-38645 wurde als Teil des "OMIGOD"-Schwachstellenclusters aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Der EPSS-Score von 0.14607 (94,37. Perzentile) bestätigt eine hohe reale Ausnutzungswahrscheinlichkeit. Proof-of-Concept-Exploit-Code war kurz nach der Offenlegung öffentlich verfügbar.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang für CVE-2021-38645 bestätigt. Die bestätigte Ausnutzung in der Praxis bedeutet jedoch, dass Bedrohungsakteure diese Schwachstelle als Teil umfassender Angriffsketten nutzten.
Angriffsfläche: OMI wird automatisch auf Azure-Linux-VMs installiert, wenn bestimmte Management-Extensions aktiviert sind, wodurch viele Azure-Kunden unwissentlich exponiert waren. Öffentlicher Exploit-Code existiert, und die Schwachstelle wurde nach der Offenlegung in der Sicherheits-Community weithin diskutiert.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17. Alle Organisationen mit Azure-Linux-VMs sollten dies als kritische Behebungspriorität behandeln.
Behebung
- Hersteller-Patches umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie den Microsoft-Hinweis unter MSRC für spezifische Patch-Informationen. Aktualisieren Sie OMI auf Version 1.6.8-1 oder höher.
- Betroffene Systeme in der Azure-Umgebung identifizieren. Erfassen Sie alle Azure-Linux-VMs mit OMI-Agenten. Prüfen Sie die installierte OMI-Version mit
dpkg -l omioderrpm -qa omi. Jede Version vor 1.6.8-1 ist verwundbar. - Automatische Extension-Updates aktivieren. Konfigurieren Sie Azure-VM-Extensions für automatische Updates, um zukünftige OMI-Patches zeitnah anzuwenden. Prüfen Sie Azure Security Center-Empfehlungen auf ausstehende Aktionen.
- Netzwerksegmentierung implementieren. Beschränken Sie den Zugriff auf OMI-Management-Ports. Stellen Sie sicher, dass OMI nicht auf öffentlich zugänglichen Netzwerkschnittstellen exponiert ist, und wenden Sie Firewall-Regeln an.
- Auf Anzeichen vorheriger Kompromittierung prüfen. Überprüfen Sie Systemprotokolle auf verdächtige Rechteausweitungsereignisse oder unauthorisierten Root-Zugang. Suchen Sie nach unerwarteten Prozessen, modifizierten Systemdateien oder neuen Benutzerkonten.
- Post-Remediation-Review durchführen. Verifizieren Sie nach dem Patching die OMI-Version und bestätigen Sie die Wirksamkeit der Behebung. Dokumentieren Sie die durchgeführten Maßnahmen.
Technische Details
Angriffsvektor: LOCAL
Angriffskomplexität: Niedrig
Erforderliche Rechte: Niedrig
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert im Open Management Infrastructure (OMI)-Agenten, einem UNIX/Linux-basierten Remote-Management-Framework, das von Azure zur VM-Verwaltung verwendet wird. OMI läuft als Root und verarbeitet Management-Operationen über einen lokalen Socket. Die Rechteausweitung tritt auf, weil OMI die Anmeldedaten und Autorisierungsebene lokaler Anfragen nicht ordnungsgemäß validiert, wodurch ein niedrig privilegierter Benutzer Operationen ausführen kann, die Root-Rechte erfordern sollten.
Teil des OMIGOD-Clusters: CVE-2021-38645 wurde zusammen mit CVE-2021-38647 (Remote Code Execution), CVE-2021-38648 (Rechteausweitung) und CVE-2021-38649 (Rechteausweitung) als Teil des "OMIGOD"-Schwachstellensets offengelegt. Während die RCE-Schwachstelle mehr Aufmerksamkeit erhielt, sind die lokalen Rechteausweitungen in Post-Exploitation-Szenarien ebenso gefährlich.
Betroffene Produkte: Microsoft Open Management Infrastructure (OMI) vor Version 1.6.8-1
CVSS-3.1-Bewertung: Der Score von 7.8 (HOCH) reflektiert lokalen Zugang, niedrige Komplexität, niedrige erforderliche Rechte, keine Benutzerinteraktion, unveränderten Scope und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2021-38645 aktiv ausgenutzt?
Ja, CVE-2021-38645 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet und weist einen EPSS-Score von 0.14607 (94,37. Perzentile) auf. Sie war Teil des weithin anvisierten "OMIGOD"-Schwachstellenclusters, der Millionen von Azure-Linux-VMs betraf.
Welche Produkte sind von CVE-2021-38645 betroffen?
CVE-2021-38645 betrifft Microsoft Open Management Infrastructure (OMI), das in Azure VM Management Extensions verwendet wird. Dies umfasst Azure-Linux-VMs mit OMI-Installation über verschiedene Azure-Extensions wie Azure Automation, Azure Diagnostics und System Center Operations Manager. Jede OMI-Version vor 1.6.8-1 ist verwundbar.
Wie behebe ich CVE-2021-38645?
Wenden Sie Updates gemäß den Anweisungen des Herstellers an und aktualisieren Sie OMI auf Version 1.6.8-1 oder höher. Prüfen Sie Ihre Azure-Linux-VMs auf die installierte OMI-Version, aktivieren Sie automatische Extension-Updates und beschränken Sie den Netzwerkzugang zu OMI-Management-Ports. Prüfen Sie nach dem Patching auf Anzeichen einer vorherigen Kompromittierung.
Wie schwerwiegend ist CVE-2021-38645?
CVE-2021-38645 ist mit einem CVSS-Score von 7.8 als HOCH eingestuft. Die Schwachstelle ermöglicht lokale Rechteausweitung auf Azure-Linux-VMs mit dem OMI-Agenten. Der EPSS-Score von 0.14607 (94,37. Perzentile) belegt eine hohe Ausnutzungswahrscheinlichkeit. Die CISA-Behebungsfrist war der 2021-11-17.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.