CVE-2021-38647
Microsoft Open Management Infrastructure (OMI) Remote Code Execution Vulnerability
Beschreibung
CVE-2021-38647 ist eine kritische Remote-Code-Execution-Schwachstelle in Microsoft Open Management Infrastructure (OMI) mit einem CVSS-3.1-Score von 9.8. Diese auch als "OMIGOD" bekannte Schwachstelle ermöglicht es nicht authentifizierten Angreifern, über das Netzwerk beliebigen Code als Root auf Linux-Maschinen auszuführen, auf denen OMI läuft, das stillschweigend auf Azure Virtual Machines durch verschiedene Azure-VM-Verwaltungserweiterungen installiert wird. Betroffene Produkte umfassen Azure Automation State Configuration, Azure Automation Update Management, Azure Diagnostics (LAD), Azure Open Management Infrastructure, Azure Security Center, Azure Sentinel, Azure Stack Hub, Container Monitoring Solution, Log Analytics Agent und System Center Operations Manager. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen ausgenutzt. Der EPSS-Score von 0.94392 (99,97. Perzentile) belegt die höchste reale Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | azure automation state configuration | - |
| microsoft | azure automation update management | - |
| microsoft | azure diagnostics \(lad\) | - |
| microsoft | azure security center | - |
| microsoft | azure sentinel | - |
| microsoft | azure stack hub | - |
| microsoft | container monitoring solution | - |
| microsoft | log analytics agent | - |
| microsoft | open management infrastructure | < 1.6.8-1 |
| microsoft | system center operations manager | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/164694/Microsoft-OMI-Management-Interface-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38647(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38647(US Government Resource)
Schwachstellentyp
CWE-287: Unsachgemäße Authentifizierung
CVE-2021-38647 nutzt eine Authentifizierungsumgehung im OMI-HTTP/HTTPS-Listener aus. Wenn OMI Verwaltungsanfragen über seinen Listening-Port empfängt, werden Anfragen, die den Authentifizierungs-Header vollständig weglassen, mit den höchsten Privilegien (Root) verarbeitet. Ein Angreifer kann eine speziell gestaltete SOAP/XML-Anfrage an den OMI-Port ohne jegliche Zugangsdaten senden und Remote Code Execution mit Root-Privilegien erreichen. Die Schwachstelle entsteht durch unzureichende Validierung des Authentifizierungskontexts bei eingehenden Anfragen, wobei ein fehlender Authentifizierungs-Header als implizit vertrauenswürdig behandelt wird.
Mehr erfahren: CWE-287 — Unsachgemäße Authentifizierung
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt Root-Zugriff auf das zugrunde liegende Linux-System, wodurch Angreifer alle Dateien lesen, auf Zugangsdaten, Verschlüsselungsschlüssel und alle von Azure-Diensten verarbeiteten Daten zugreifen können.
Integrität (HIGH): Mit Root-Zugriff können Angreifer beliebige Systemdateien modifizieren, persistente Backdoors installieren, Anwendungskonfigurationen ändern, Malware einschleusen oder zu verbundenen Azure-Ressourcen und -Diensten pivotieren.
Verfügbarkeit (HIGH): Vollständige Systemkompromittierung ermöglicht Angreifern die Störung aller auf der VM laufenden Dienste, Ransomware-Deployment, Datenzerstörung oder Nutzung des kompromittierten Systems zum Angriff auf andere Ressourcen in der Azure-Umgebung.
Scope: Der Scope ist Unchanged (U), wobei Root-Zugriff auf dem Host effektiv die gesamte VM und potenziell verbundene Azure-Dienste kompromittiert.
Mit einem EPSS-Score von 0.94392 (99,97. Perzentile) ist dies eine der am aktivsten ausgenutzten Schwachstellen und erfordert höchste Behebungspriorität.
Exploit-Reifegrad
Exploit-Status: CVE-2021-38647 wird aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Öffentlicher Exploit-Code ist weit verbreitet. Die Schwachstelle wurde im September 2021 als Teil der "OMIGOD"-Schwachstellengruppe offengelegt. Die Ausnutzung ist trivial und erfordert nur eine einzelne HTTP-Anfrage ohne Authentifizierung.
Ransomware-Bezug: Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen ausgenutzt. Die Kombination aus nicht authentifizierter Remote Code Execution als Root, stiller Installation auf Azure VMs und breiter Exposition machte sie zu einem sofortigen Ziel für Cryptominer, Botnet-Betreiber und Ransomware-Gruppen.
Angriffsfläche: OMI wird stillschweigend auf Azure-Linux-VMs installiert, wenn Dienste wie Azure Automation, Azure Security Center oder Log Analytics verwendet werden. Viele Azure-Kunden wussten nicht, dass OMI auf ihren Systemen installiert war. OMI lauscht auf den Ports 5985 (HTTP) und 5986 (HTTPS).
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17.
Behebung
- OMI auf Version 1.6.8.1 oder höher aktualisieren. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie das Microsoft Security Advisory unter MSRC für spezifische Patch-Informationen.
- Alle Systeme mit OMI in der Umgebung identifizieren. OMI wird stillschweigend von verschiedenen Azure-VM-Erweiterungen installiert. Prüfen Sie alle Azure-Linux-VMs, insbesondere solche mit Azure Automation, Security Center, Log Analytics, Sentinel oder Container Monitoring.
- Netzwerkzugriff auf OMI-Ports einschränken. Stellen Sie sicher, dass Network Security Groups (NSGs) den externen Zugriff auf die Ports 5985 und 5986 blockieren. Diese Verwaltungsports sollten niemals dem Internet ausgesetzt sein.
- Auf Kompromittierungsindikatoren prüfen. Überprüfen Sie Systemprotokolle auf unerwartete Root-Prozesse, ungewöhnliche Netzwerkverbindungen von OMI-Ports und Anzeichen von Cryptominern oder Backdoors.
- Azure-VM-Erweiterungen auf neueste Versionen aktualisieren. Einige Azure-Dienste aktualisieren OMI automatisch über ihre Erweiterungen. Verifizieren Sie, dass alle VM-Erweiterungen (OMS Agent, DSC, LAD) gepatchte OMI-Versionen enthalten.
- Defense-in-Depth-Monitoring implementieren. Setzen Sie hostbasierte Intrusion Detection ein, aktivieren Sie Azure Defender for Servers und konfigurieren Sie Alerts für anomale Root-Aktivitäten auf Linux-VMs.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: OMI ist eine Open-Source-WBEM-Implementierung (Web-Based Enterprise Management), die von Azure zur Verwaltung von Linux-VMs verwendet wird. Der OMI-Agent lauscht auf den Ports 5985 (HTTP) und 5986 (HTTPS) für SOAP/XML-Verwaltungsanfragen. Die Authentifizierungsumgehung tritt auf, weil der OMI-Daemon den Authentifizierungs-Header in eingehenden Anfragen nicht ordnungsgemäß validiert. Wenn der Authentifizierungs-Header vollständig aus einer Anfrage weggelassen wird, verarbeitet OMI die Anfrage mit Root-Privilegien anstatt sie abzulehnen. Ein Angreifer sendet eine einfache HTTP-POST-Anfrage mit einem SOAP-Envelope an den OMI-Port ohne Authentifizierung und erreicht beliebige Befehlsausführung als Root.
Betroffene Produkte: Azure Automation State Configuration, Azure Automation Update Management, Azure Diagnostics (LAD), Azure Open Management Infrastructure, Azure Security Center, Azure Sentinel, Azure Stack Hub, Container Monitoring Solution, Log Analytics Agent, System Center Operations Manager
CVSS-3.1-Bewertung: Der Score von 9.8 (KRITISCH) reflektiert den maximalen Exploitability-Score von 3.9 mit netzwerkbasiertem Angriffsvektor, niedriger Komplexität, keinen erforderlichen Rechten, keiner Benutzerinteraktion und hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2021-38647 aktiv ausgenutzt?
Ja, CVE-2021-38647 (bekannt als OMIGOD) wird aktiv in der Praxis ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet und hat einen EPSS-Score von 0.94392 (99,97. Perzentile). Sie wird nachweislich in Ransomware-Kampagnen, Cryptomining-Operationen und Botnet-Rekrutierung eingesetzt.
Welche Produkte sind von CVE-2021-38647 betroffen?
Betroffen sind Azure Automation State Configuration, Azure Automation Update Management, Azure Diagnostics (LAD), Azure Open Management Infrastructure, Azure Security Center, Azure Sentinel, Azure Stack Hub, Container Monitoring Solution, Log Analytics Agent und System Center Operations Manager. OMI wird von diesen Azure-Diensten stillschweigend auf Linux-VMs installiert.
Wie behebe ich CVE-2021-38647?
Aktualisieren Sie OMI auf Version 1.6.8.1 oder höher. Aktualisieren Sie alle Azure-VM-Erweiterungen auf ihre neuesten Versionen. Blockieren Sie externen Zugriff auf die Ports 5985 und 5986 über Network Security Groups. Verifizieren Sie die OMI-Patches auf allen Azure-Linux-VMs.
Wie schwerwiegend ist CVE-2021-38647?
CVE-2021-38647 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft. Der EPSS-Score von 0.94392 (99,97. Perzentile) belegt die höchste Ausnutzungswahrscheinlichkeit. Die Schwachstelle ermöglicht nicht authentifizierte Remote Code Execution als Root und wird in Ransomware-Kampagnen bestätigt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.