Trusted DesignCVE-2021-38645 の詳細
CVEの情報
説明:
Open Management Infrastructure Elevation of Privilege Vulnerability
CVE更新日: 2021-09-15 12:15:14.967000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.027270000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-38645は、Microsoft社のOpen Management Infrastructure (OMI) に存在する特権昇格の脆弱性です。この脆弱性は「OMIGOD」と呼ばれる一連のOMI脆弱性群の一つとして知られています。
1. 脆弱性の概要
1.1 影響
この脆弱性は、MicrosoftのOpen Management Infrastructure (OMI) に影響を与えます。OMIは、Linuxベースのシステム管理のために複数のAzureサービスで利用されている重要なコンポーネントです。認証されたローカルの攻撃者が、影響を受けるシステム上で特権を昇格させ、最終的に侵害されたAzure仮想マシンやハイブリッドクラウドインフラストラクチャに対するrootレベルのアクセス権を獲得する可能性があります。
1.2 深刻度
CVE-2021-38645は、深刻度「高」の脆弱性として分類されており、CVSS v3スコアは7.8です。この脆弱性はCISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities (KEV) カタログにも含まれており、実際に悪用が確認されていることを示しています。攻撃の複雑さは低く、ユーザーの操作は不要です。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Microsoft Open Management Infrastructure (OMI) のバージョン1.6.8-1未満が影響を受けます。これは、特定のAzureサービスが有効化された際にLinuxシステムに自動的にインストールされるOMIエージェントに存在します。
2.2 影響を受ける設定
以下のAzureサービスを利用しているLinuxシステムで、OMIが自動的にインストールされている場合に影響を受ける可能性があります。 * Azure Automation * Azure Automatic Update * Azure Operations Management Suite * Azure Log Analytics * Azure Configuration Management * Azure Diagnostics
この脆弱性は、OMIフレームワーク内の不適切な特権管理、およびローカルユーザーからの要求を処理する際の不十分な検証とアクセス制御メカニズムに起因します。
3. 影響を受けた時の兆候
明確な兆候は具体的に記載されていません。この脆弱性は特権昇格を可能にするため、攻撃者がrootアクセス権を取得した場合、システムの不正な変更や活動が発生する可能性があります。
4. 推奨対策
4.1 本対策
ベンダーの指示に従って更新を適用してください。具体的には、Microsoft Azure Open Management Infrastructure (OMI) パッケージをバージョン1.6.8-1以降に更新する必要があります。2021年8月11日以降に作成または更新されたシステムは、自動的にパッチが適用されているはずです。
4.2 暫定回避策（緩和策）
明示的な暫定回避策は、本対策（パッチの適用）以外には検索結果に詳細が記載されていません。一般的なセキュリティ対策として、堅牢な特権管理の重要性や、定期的なリスク評価およびセキュリティ監査が挙げられています。
その他に解説すべき観点
参照したサイト