5985,5986 - Pentesting OMI
Основна інформація
OMI представлений як open-source інструмент від Microsoft, призначений для віддаленого управління конфігурацією. Він особливо актуальний для Linux-серверів на Azure, які використовують такі сервіси, як:
Azure Automation
Azure Automatic Update
Azure Operations Management Suite
Azure Log Analytics
Azure Configuration Management
Azure Diagnostics
Процес omiengine
ініціюється і слухає на всіх інтерфейсах як root, коли ці сервіси активовані.
За замовчуванням використовуються порти 5985 (http) та 5986 (https).
Як було помічено 16 вересня, Linux-сервери, розгорнуті в Azure з вказаними сервісами, вразливі через уразливу версію OMI. Ця уразливість полягає в обробці повідомлень сервером OMI через кінцеву точку /wsman
без вимоги заголовка аутентифікації, що неправильно авторизує клієнта.
Зловмисник може скористатися цим, надіславши "ExecuteShellCommand" SOAP навантаження без заголовка аутентифікації, змушуючи сервер виконувати команди з привілеями root.
Для отримання додаткової інформації про цей CVE перегляньте це.
Посилання
Last updated