CVE-2021-38648
Microsoft Open Management Infrastructure (OMI) Privilege Escalation Vulnerability
Beschreibung
CVE-2021-38648 ist eine hochgradige Privilegien-Eskalations-Schwachstelle in Microsoft Open Management Infrastructure (OMI), einem Verwaltungsagenten, der innerhalb von Azure-VM-Verwaltungserweiterungen bereitgestellt wird. Die Schwachstelle ermoeglicht es einem lokalen Angreifer mit niedrigen Berechtigungen, hoehere Systemprivilegien auf betroffenen Azure-VMs und Linux-Hosts mit OMI zu erlangen. CISA hat CVE-2021-38648 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung bestaetigt. Mit einem EPSS-Score von 31,79 % (96,7. Perzentil) stellt diese OMI-Privilegien-Eskalations-Schwachstelle ein sehr hohes Ausnutzungsrisiko dar, insbesondere fuer Organisationen, die auf Azure-Cloud-Dienste setzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | azure automation state configuration | - |
| microsoft | azure automation update management | - |
| microsoft | azure diagnostics \(lad\) | - |
| microsoft | azure open management infrastructure | - |
| microsoft | azure security center | - |
| microsoft | azure sentinel | - |
| microsoft | azure stack hub | - |
| microsoft | container monitoring solution | - |
| microsoft | log analytics agent | - |
| microsoft | open management infrastructure | < 1.6.8-1 |
| microsoft | system center operations manager | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38648(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/164925/Microsoft-OMI-Management-Interface-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38648(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38648(US Government Resource)
Schwachstellentyp
Privilegien-Eskalation in Open Management Infrastructure
Der Open Management Infrastructure (OMI) Agent enthaelt eine nicht naeher spezifizierte Schwachstelle, die eine Privilegien-Eskalation ermoeglicht. OMI ist ein leichtgewichtiger Verwaltungsagent, der in mehreren Azure-Diensten eingesetzt wird, und seine Privilegien-Eskalations-Schwachstelle ermoeglicht es einem lokal authentifizierten Angreifer, hoehere Systemprivilegien zu erlangen und potenziell Root-Zugriff auf den Linux-Hosts zu erhalten, auf denen OMI installiert ist.
Mehr erfahren: CVE-2021-38648 — NVD-Detail
Auswirkungsanalyse
CVE-2021-38648 hat einen CVSS-3.1-Score von 7,8 (HOCH), was eine ernste Sicherheitsbedrohung fuer Azure-Cloud-Umgebungen darstellt. Die Schwachstelle ist lokal mit geringer Angriffskomplexitaet ausnutzbar, erfordert nur niedrige Berechtigungen und keine Benutzerinteraktion, was sie fuer jeden authentifizierten Benutzer auf einem betroffenen System leicht zugaenglich macht. Eine erfolgreiche Ausnutzung fuehrt zu maximaler Auswirkung auf Vertraulichkeit, Integritaet und Verfuegbarkeit, da der Angreifer erhoehte Privilegien bis hin zum Root-Zugriff erlangt. Die breite Bereitstellungsflaeche von OMI ueber zahlreiche Azure-Dienste — einschliesslich Azure Automation, Azure Security Center, Azure Sentinel, Azure Diagnostics, Log Analytics Agent und System Center Operations Manager — verstaerkt das Risiko erheblich. Der EPSS-Score von 31,79 % (96,7. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an und platziert CVE-2021-38648 unter den Top 4 % aller CVEs nach Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2021-38648 verfuegt ueber eine gut etablierte Exploit-Praesenz. Oeffentlicher Exploit-Code ist verfuegbar ueber Packet Storm Security, der die Ausnutzung der OMI-Verwaltungsschnittstelle demonstriert. CISA hat die aktive Ausnutzung in freier Wildbahn durch die Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt, mit einer Behebungsfrist bis zum 17.11.2021. Der EPSS-Score von 31,79 % (96,7. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an. Diese Schwachstelle ist Teil einer breiteren Gruppe von OMI-Schwachstellen, die im September 2021 offengelegt wurden und kollektiv als "OMIGOD" bekannt sind. Sie zogen aufgrund der weitverbreiteten Bereitstellung von OMI in der Azure-Infrastruktur erhebliche Aufmerksamkeit von Angreifern auf sich.
Behebung
- Microsoft-Sicherheitsupdates umgehend anwenden, wie von CISA KEV gefordert. Microsoft hat Patches fuer die OMI-Privilegien-Eskalation im Rahmen der September-2021-Sicherheitsupdates veroeffentlicht.
- Sicherstellen, dass alle Azure-Dienste, die OMI verwenden, aktualisiert wurden, einschliesslich: Azure Automation State Configuration, Azure Automation Update Management, Azure Diagnostics (LAD), Azure Open Management Infrastructure, Azure Security Center, Azure Sentinel, Azure Stack Hub, Container Monitoring Solution, Log Analytics Agent und System Center Operations Manager.
- Fuer Azure-VMs die installierte OMI-Version pruefen und sicherstellen, dass sie auf die gepatchte Version aktualisiert ist.
/opt/omi/bin/omiserver --versionauf Linux-VMs ausfuehren, um die aktuelle Version zu ueberpruefen. OMI-Pakete ueber den Paketmanager der Distribution oder ueber Azure-VM-Erweiterungsupdates aktualisieren. - Netzwerksegmentierung implementieren, um den Zugriff auf OMI-Verwaltungsports (typischerweise Port 5986 fuer HTTPS und 5985 fuer HTTP) einzuschraenken. Auf nicht autorisierte Verbindungen zu diesen Ports und ungewoehnliche Privilegien-Eskalationsaktivitaeten auf Linux-Hosts ueberwachen.
- Ein Sicherheitsaudit aller Azure-Abonnements durchfuehren, um OMI-Bereitstellungen zu inventarisieren und zu bestaetigen, dass Patches konsistent auf allen virtuellen Maschinen und verwalteten Diensten angewendet wurden.
Technische Details
CVE-2021-38648 betrifft den Open Management Infrastructure (OMI) Agenten, eine leichtgewichtige WS-Management-Protokollimplementierung, die von Microsoft fuer die Linux-basierte Verwaltung in Azure-Umgebungen verwendet wird. OMI laeuft als privilegierter Dienst auf Linux-Hosts und wird automatisch ueber verschiedene Azure-VM-Verwaltungserweiterungen bereitgestellt. Die Schwachstelle ermoeglicht es einem lokal authentifizierten Angreifer mit niedrigen Berechtigungen, durch Ausnutzung der internen Operationen des OMI-Agenten hoehere Systemprivilegien zu erlangen. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestaetigt, dass die Ausnutzung lokalen Zugriff mit niedrigen Berechtigungen erfordert, minimale Komplexitaet aufweist und keine Benutzerinteraktion benoetigt. Der Scope bleibt unveraendert, aber da OMI mit erhoehten Privilegien auf dem Hostsystem operiert, gewaehrt eine erfolgreiche Ausnutzung effektiv Root-Zugriff mit vollstaendiger Kontrolle ueber die betroffene Linux-VM.
Häufig gestellte Fragen
Wird CVE-2021-38648 aktiv ausgenutzt?
Ja. CVE-2021-38648 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgefuehrt, was eine aktive Ausnutzung in freier Wildbahn bestaetigt. Oeffentlicher Exploit-Code ist verfuegbar und der EPSS-Score von 31,79 % (96,7. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle ist Teil der "OMIGOD"-Schwachstellengruppe, die weitverbreitete Aufmerksamkeit von Angreifern auf sich zog.
Welche Produkte sind betroffen?
CVE-2021-38648 betrifft Microsoft Open Management Infrastructure (OMI) wie es in mehreren Azure-Diensten bereitgestellt wird, darunter Azure Automation State Configuration, Azure Automation Update Management, Azure Diagnostics (LAD), Azure Security Center, Azure Sentinel, Azure Stack Hub, Container Monitoring Solution, Log Analytics Agent und System Center Operations Manager.
Wie behebe ich CVE-2021-38648?
Die September-2021-Microsoft-Sicherheitsupdates umgehend anwenden. Die OMI-Version auf allen betroffenen Linux-VMs mit /opt/omi/bin/omiserver --version ueberpruefen und auf die gepatchte Version aktualisieren. Den Netzwerkzugriff auf OMI-Verwaltungsports einschraenken und alle Azure-Abonnements auf ungepatchte OMI-Bereitstellungen pruefen.
Wie schwerwiegend ist CVE-2021-38648?
CVE-2021-38648 hat einen CVSS-3.1-Score von 7,8 (HOCH). Die breite Bereitstellung ueber Azure-Dienste, die bestaetigte aktive Ausnutzung und der sehr hohe EPSS-Score von 31,79 % (96,7. Perzentil) machen die Behebung zu einer kritischen Prioritaet fuer jede Organisation, die Azure-Infrastruktur nutzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.