Cobertura para a Vulnerabilidade de Execução Remota de Código CVE-2021-38647

Artigos técnicos ID: KB94887
Última modificação: 2023-07-21 16:32:05 Etc/GMT

Ambiente

Sistemas Linux executando o agente Open Management Infrastructure (OMI) do Azure

Resumo

Atualizações recentes deste artigo

Data	Atualização
19 de dezembro de 2022	Rebranding Trellix.

Para receber notificações por e-mail quando este artigo for atualizado, clique em Assinar na lateral direita da página. Você deve estar conectado para assinar.

Investigamos uma vulnerabilidade recente, CVE-2021-38647, relatada pela Microsoft como parte das atualizações de segurança da Patch Tuesday de setembro de 2021. Esta vulnerabilidade se aplica ao Azure OMI. Esta vulnerabilidade é classificada com uma pontuação CVSS(3.1) de 9.8.

CVE-2021-38647 e é considerada a mais crítica de uma coleção de vulnerabilidades recentes lançadas pela Microsoft, sendo coletivamente chamadas de vulnerabilidades "OMIGOD". A lista completa de vulnerabilidades é CVE-2021-38647, CVE-2021-38648, CVE-2021-38645e CVE-2021-38649. Para mais informações, consulte o oficial Guia de atualização da Microsoft em CVE-2021-38647.

Problema

Essa vulnerabilidade pode ser aproveitada para obter acesso remoto com permissões de root em uma carga de trabalho virtual executando um sistema operacional baseado em Linux e executar código. Ao enviar uma solicitação HTTP/S com o cabeçalho de autorização removido, um invasor pode usar essa vulnerabilidade para obter permissões de root no sistema da vítima.

O que é o Azure OMI?

O Agente OMI é aproveitado em muitos serviços populares do Azure. A Microsoft faz referência ao Azure Operations Management Suite (OMS) e ao System Center for Linux, que podem ser usados com sistemas Linux locais.

Solução

É importante observar que a Microsoft lançou um patch no OMI Agent, lançado em 11 de setembro de 2021. Os proprietários do sistema podem aplicar o patch para corrigir a vulnerabilidade. Este patch está disponível diretamente no repositório GitHub do Microsoft OMI Agent na versão 1.6.8-1.

IMPORTANTE: Para estar suficientemente protegido pelas atualizações de segurança fornecidas pela Microsoft para vulnerabilidades "OMIGOD", os clientes devem executar ações manuais para implantar os patches necessários. O Azure OMI não aplica esse patch automaticamente.

Como as soluções de produtos Trellix podem ajudar?

Avaliamos a cobertura de produtos em todo o nosso portfólio. Este artigo será atualizado à medida que a cobertura do produto for identificada.

Os recursos do produto estão disponíveis para os seguintes componentes:

Endpoint Security for Linux Firewall: Bloqueie conexões de entrada para portas afetadas; bloquear o serviço OMI das comunicações de rede.
EDR/Active Response: Pesquise conexões por porta e privilégio de usuário.
Pesquisa em tempo real -
A consulta a seguir pode ser usada para identificar os sistemas que executam o Agente OMI e a respectiva versão do serviço instalado:

Software e HostInfo hostname em que Software displayname contém omi

A consulta a seguir pode ser usada para identificar o tráfego proveniente do serviço omiengine:

Processes and CurrentFlow and HostInfo hostname where Processes name is equals omiengine
Controle de aplicativos: impede a execução do serviço OMI.

NOTA: As portas OMI comuns são 5986, 5985 e 1270. Porém, opções de configurações personalizadas para portas OMI estão disponíveis. Os clientes devem investigar internamente o que está sendo usado em seu ambiente. Além disso, à medida que mais testes forem realizados, essas etapas serão descritas com mais detalhes.

A cobertura de produto adicional está sendo avaliada para os seguintes produtos:

Plataforma de proteção de aplicativos nativos da nuvem (CNAPP)
Plataforma de proteção de carga de trabalho em nuvem (CWPP)

Para receber atualizações contínuas, assine este artigo e o Support Notification Service (SNS).

Informações relacionadas

Para receber notificações por e-mail quando este artigo for atualizado, clique em Assinar na lateral direita da página. Você deve estar conectado para assinar.

Para receber informações sobre atualizações de produtos, Inscreva-se no serviço de notificação de suporte.

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

Idiomas:

Este artigo está disponível nos seguintes idiomas:

Knowledge Center

Cobertura para a Vulnerabilidade de Execução Remota de Código CVE-2021-38647

Ambiente

Resumo

Problema

Solução

Informações relacionadas

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Cobertura para a Vulnerabilidade de Execução Remota de Código CVE-2021-38647

Ambiente

Resumo

Problema

Solução

Informações relacionadas

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title