CVE-2021-38649
Microsoft Open Management Infrastructure (OMI) Privilege Escalation Vulnerability
Beschreibung
CVE-2021-38649 ist eine schwerwiegende Rechteausweitung-Schwachstelle in Microsoft Open Management Infrastructure (OMI) innerhalb der Azure VM Management Extensions mit einem CVSS-3.1-Score von 7.0. Im Gegensatz zu anderen OMIGOD-Schwachstellen weist diese Variante eine hohe Angriffskomplexität auf, die spezifische Bedingungen für eine erfolgreiche Ausnutzung erfordert. Die Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer mit niedrigen Berechtigungen, seine Rechte auf betroffenen Azure-Linux-VMs mit OMI-Agenten auszuweiten. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Der EPSS-Score von 0.06512 (90,98. Perzentile) belegt eine beachtliche reale Ausnutzungsaktivität.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | azure automation state configuration | - |
| microsoft | azure automation update management | - |
| microsoft | azure diagnostics \(lad\) | - |
| microsoft | azure open management infrastructure | - |
| microsoft | azure security center | - |
| microsoft | azure sentinel | - |
| microsoft | azure stack hub | - |
| microsoft | container monitoring solution | - |
| microsoft | log analytics agent | - |
| microsoft | open management infrastructure | < 1.6.8-1 |
| microsoft | system center operations manager | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38649(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38649(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38649(US Government Resource)
Schwachstellentyp
Nicht spezifizierter Schwachstellentyp
CVE-2021-38649 hat keine offiziell zugewiesene CWE-Klassifizierung. Die Schwachstelle ist ein Rechteausweitungsfehler im Open Management Infrastructure (OMI)-Agenten, der von Azure VM Management Extensions verwendet wird. OMI ist ein Open-Source-CIM-Management-Framework, das mit Root-Rechten auf Linux-Systemen für Remote- und lokale Management-Operationen läuft.
Diese Schwachstelle ist Teil der "OMIGOD"-Familie, die im September 2021 zusammen mit CVE-2021-38645, CVE-2021-38647 und CVE-2021-38648 offengelegt wurde. Während sie dieselbe betroffene Komponente teilen, unterscheidet sich CVE-2021-38649 dadurch, dass eine hohe Angriffskomplexität erforderlich ist, was bedeutet, dass spezifische Umgebungsbedingungen oder Race Conditions für eine erfolgreiche Ausnutzung vorliegen müssen.
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer erhöhten Zugriff auf sensible Daten der betroffenen Azure-Linux-VM, einschließlich Konfigurationsdateien, Geheimnisse, Verschlüsselungsschlüssel und Daten verbundener Azure-Dienste.
Integrität (HIGH): Mit erhöhten Berechtigungen können Angreifer kritische Systemdateien modifizieren, Backdoors installieren, Sicherheitskonfigurationen ändern, Management-Agent-Einstellungen manipulieren oder bösartige Payloads einschleusen.
Verfügbarkeit (HIGH): Vollständige Unterbrechung des betroffenen Systems ist möglich, einschließlich Dienstverweigerung, Systemabstürze, Datenzerstörung oder Unbenutzbarkeit der virtuellen Maschine und ihrer gehosteten Dienste.
Scope: Der Scope ist Unchanged (U), die Auswirkungen sind auf die verwundbare OMI-Komponentenumgebung beschränkt. Da OMI mit Root-Rechten läuft, bedeutet eine Kontrolle effektiv die vollständige Systemkompromittierung der Linux-VM.
Die hohe Angriffskomplexität (CVSS-Score 7.0 vs. 7.8 für ähnliche OMIGOD-Schwachstellen) zeigt, dass die Ausnutzung schwieriger, aber dennoch machbar ist, wie die KEV-Listung bestätigt.
Exploit-Reifegrad
Exploit-Status: CVE-2021-38649 wurde als Teil des breiteren OMIGOD-Schwachstellenclusters gegen Azure-Linux-VMs ausgenutzt und ist im CISA KEV-Katalog gelistet. Der EPSS-Score von 0.06512 (90,98. Perzentile) zeigt signifikante Ausnutzungsaktivität. Die hohe Angriffskomplexität macht die Ausnutzung etwas schwieriger als bei den OMIGOD-Geschwistern, aber funktionsfähige Exploits wurden entwickelt.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang für CVE-2021-38649 bestätigt. Die Ausnutzung wurde primär mit gezielten Angriffen gegen Azure-Cloud-Infrastruktur in Verbindung gebracht.
Angriffsfläche: OMI wird automatisch auf Azure-Linux-VMs über verschiedene Management-Extensions bereitgestellt, was eine breite Angriffsfläche in Azure-Umgebungen schafft. Obwohl die hohe Komplexitätsanforderung die Zuverlässigkeit begrenzt, bedeutet die weite Verbreitung von OMI viele potenzielle Ziele.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17. Alle Organisationen mit Azure-Linux-VMs sollten die Aktualisierung auf die gepatchte OMI-Version priorisieren.
Behebung
- Hersteller-Patches umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie den Microsoft-Hinweis unter MSRC für spezifische Patch-Informationen. Aktualisieren Sie OMI auf Version 1.6.8-1 oder höher.
- Betroffene Azure-Linux-VMs identifizieren. Erfassen Sie alle Azure-Linux-VMs mit OMI-Agenten in Ihrer Umgebung. Prüfen Sie die installierte OMI-Version mit
dpkg -l omioderrpm -qa omi. Jede Version vor 1.6.8-1 ist verwundbar für diese und andere OMIGOD-CVEs. - Automatische Extension-Updates aktivieren. Konfigurieren Sie Azure-VM-Extensions für automatische Updates, um zukünftige OMI-Patches zeitnah anzuwenden. Prüfen Sie Azure Security Center-Empfehlungen.
- Netzwerksegmentierung implementieren. Beschränken Sie den Zugriff auf OMI-Management-Ports (Standard 5985/5986). Stellen Sie sicher, dass OMI-Listener nicht auf öffentlichen Netzwerkschnittstellen exponiert sind, und wenden Sie NSG-Regeln an.
- Auf Anzeichen vorheriger Kompromittierung prüfen. Überprüfen Sie Systemprotokolle auf Azure-Linux-VMs auf verdächtige Rechteausweitungsereignisse, unerwartete Root-Level-Prozesse oder unauthorisierte Modifikationen. Prüfen Sie alle OMIGOD-CVEs gleichzeitig.
- Post-Remediation-Review durchführen. Verifizieren Sie nach dem Patching die aktualisierte OMI-Version. Dokumentieren Sie alle Maßnahmen und erwägen Sie Azure Defender for Servers für fortlaufenden Schutz.
Technische Details
Angriffsvektor: LOCAL
Angriffskomplexität: Hoch
Erforderliche Rechte: Niedrig
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert im OMI-Agenten, einem UNIX/Linux-basierten Remote-Management-Framework, das von Azure zur VM-Verwaltung verwendet wird. OMI läuft als Root und verarbeitet Management-Anfragen über lokale und Remote-Schnittstellen. Die Rechteausweitung tritt aufgrund einer fehlerhaften Autorisierungsbehandlung unter spezifischen Bedingungen auf, wodurch ein authentifizierter niedrig privilegierter Benutzer Operationen ausführen kann, die Root-Rechte erfordern sollten. Die hohe Angriffskomplexität zeigt, dass spezifische Timing- oder Umgebungsbedingungen vorliegen müssen.
Unterscheidung von anderen OMIGOD-CVEs: CVE-2021-38649 teilt die gleiche OMI-Komponente mit CVE-2021-38645 (lokale Rechteausweitung, niedrige Komplexität), CVE-2021-38647 (Remote Code Execution) und CVE-2021-38648 (lokale Rechteausweitung). Der Hauptunterschied ist die hohe Angriffskomplexität, was zu einem niedrigeren CVSS-Score von 7.0 gegenüber 7.8 für CVE-2021-38645 führt.
Betroffene Produkte: Microsoft Open Management Infrastructure (OMI) vor Version 1.6.8-1
CVSS-3.1-Bewertung: Der Score von 7.0 (HOCH) reflektiert lokalen Zugang, hohe Komplexität, niedrige erforderliche Rechte, keine Benutzerinteraktion, unveränderten Scope und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2021-38649 aktiv ausgenutzt?
Ja, CVE-2021-38649 wurde als Teil des OMIGOD-Schwachstellenclusters gegen Azure-Linux-VMs aktiv ausgenutzt. Sie ist im CISA KEV-Katalog gelistet mit einem EPSS-Score von 0.06512 (90,98. Perzentile). Die hohe Angriffskomplexität macht die Ausnutzung schwieriger als bei anderen OMIGOD-CVEs, hindert aber entschlossene Angreifer nicht.
Welche Produkte sind von CVE-2021-38649 betroffen?
CVE-2021-38649 betrifft Microsoft Open Management Infrastructure (OMI), das in Azure VM Management Extensions verwendet wird. Dies umfasst Azure-Linux-VMs mit OMI-Installation über Extensions wie Azure Automation, Azure Diagnostics, Log Analytics und System Center Operations Manager. Jede OMI-Version vor 1.6.8-1 ist verwundbar.
Wie behebe ich CVE-2021-38649?
Aktualisieren Sie OMI auf Version 1.6.8-1 oder höher gemäß Microsofts Anweisungen. Identifizieren Sie alle Azure-Linux-VMs mit OMI-Agenten, aktivieren Sie automatische Extension-Updates, beschränken Sie den Netzwerkzugang zu OMI-Management-Ports und prüfen Sie auf Kompromittierungsindikatoren. Behandeln Sie alle OMIGOD-CVEs gleichzeitig, da sie dieselbe Komponente betreffen.
Wie schwerwiegend ist CVE-2021-38649?
CVE-2021-38649 ist mit einem CVSS-Score von 7.0 als HOCH eingestuft. Der Score ist aufgrund der hohen Angriffskomplexität niedriger als bei anderen OMIGOD-CVEs. Der EPSS-Score von 0.06512 (90,98. Perzentile) zeigt signifikante Ausnutzungsaktivität. Die CISA-Behebungsfrist war der 2021-11-17.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.