5985,5986 - Pentesting OMI
Osnovne informacije
OMI se predstavlja kao open-source alat od strane Microsoft-a, dizajniran za daljinsko upravljanje konfiguracijom. Posebno je relevantan za Linux servere na Azure-u koji koriste usluge kao što su:
Azure Automation
Azure Automatic Update
Azure Operations Management Suite
Azure Log Analytics
Azure Configuration Management
Azure Diagnostics
Proces omiengine
se pokreće i sluša na svim interfejsima kao root kada su ove usluge aktivirane.
Podrazumevani portovi koji se koriste su 5985 (http) i 5986 (https).
Kako je primećeno 16. septembra, Linux serveri raspoređeni u Azure-u sa pomenutim uslugama su podložni zbog ranjive verzije OMI. Ova ranjivost leži u načinu na koji OMI server obrađuje poruke kroz /wsman
endpoint bez zahteva za Authentication header, pogrešno autorizujući klijenta.
Napadač može iskoristiti ovo slanjem "ExecuteShellCommand" SOAP payload-a bez Authentication header-a, primoravajući server da izvrši komande sa root privilegijama.
Za više informacija o ovom CVE proverite ovo.
Reference
Last updated