5985,5986 - Pentesting OMI
Información Básica
OMI se presenta como una herramienta de código abierto de Microsoft, diseñada para la gestión de configuración remota. Es particularmente relevante para servidores Linux en Azure que utilizan servicios como:
Azure Automation
Azure Automatic Update
Azure Operations Management Suite
Azure Log Analytics
Azure Configuration Management
Azure Diagnostics
El proceso omiengine
se inicia y escucha en todas las interfaces como root cuando se activan estos servicios.
Los puertos predeterminados utilizados son 5985 (http) y 5986 (https).
Como se observó el 16 de septiembre, los servidores Linux desplegados en Azure con los servicios mencionados son susceptibles debido a una versión vulnerable de OMI. Esta vulnerabilidad radica en el manejo de mensajes del servidor OMI a través del endpoint /wsman
sin requerir un encabezado de Autenticación, autorizando incorrectamente al cliente.
Un atacante puede explotar esto enviando una carga útil SOAP "ExecuteShellCommand" sin un encabezado de Autenticación, obligando al servidor a ejecutar comandos con privilegios de root.
Para más información sobre este CVE consulta esto.
Referencias
Last updated