Poważne luki bezpieczeństwa w oprogramowaniu Microsoftu - producent nie umie ich załatać

Luki bezpieczeństwa zostały zgłoszone przez zespół badawczy WIZ, który odkrył cztery podatności w oprogramowaniu Open Management Infrastructure (OMI) do zarządzania platformą chmurową Microsoft Azure (zbiorczo nazwano je jako OMIGOD):

• CVE-2021-38647
• CVE-2021-38648
• CVE-2021-38645
• CVE-2021-38649

Według badaczy, wykryte luki pozwalają uzyskać dostęp do uprawnień root i przeprowadzić atak (np. zdalnie zaszyfrować pliki w celu wymuszenia okupu). Sprawy nie ułatwia fakt, że oprogramowanie OMI jest wdrażane automatycznie (bez wiedzy użytkownika), podczas konfiguracji maszyny wirtualnej z systemem Linux w chmurze i aktywacji niektórych usług platformy Azure. Mało tego! Microsoft nie udostępnia praktycznie żadnej publicznej dokumentacji dotyczącej OMI, więc większość klientów nigdy o niej nie słyszała i nie zdaje sobie sprawy z możliwości ataku.

Z ostrożnością szacujemy, że problem dotyczy tysięcy klientów platformy Azure i milionów punktów końcowych. W małej próbce przeanalizowanych przypadków, ponad 65% użytkowników platformy Azure była nieświadomie zagrożona.

Zainteresowanych szczegółami odsyłamy do wpisu na blogu WIZ, gdzie szerzej opisano schemat ataku oraz listę usług, których dotyczy problem.

Microsoft udostępnił poprawioną wersję oprogramowania OMI (1.6.8.1), która ma za zadanie zmniejszyć ryzyko ataków wykorzystujących podatność CVE-2021-38647. Producent zaleca też ograniczenie dostępu do nasłuchiwania OMI na portach 5985, 5985 i 1270.

Według WIZ, podatności nadal występują w oprogramowaniu Microsoftu:

Oprogramowanie OMI w wersji podatnej na ataki nadal jest wdrażane do nowych maszyn wirtualnych.

Informacje te zdaje się potwierdzać też jeden z programistów Microsoftu – napisał on na platformie GitHub:

Zespół jest świadomy luk bezpieczeństwa, obecnie pracuje nad wydaniem nowej wersji OMI i wyda ją po weryfikacji.

Pozostaje więc czekać aż Microsoft przygotuje nową wersję OMI, która rzeczywiście będzie pozbawiona luk bezpieczeństwa (i to ona będzie wdrażane do platformy Azure).

Źródło: Security Affairs, CRN, WIZ