CVE詳細 - CVE-2021-38647-

CVE-2021-38647 の詳細

CVEの情報

説明:
Open Management Infrastructure Remote Code Execution Vulnerability

CVE更新日: 2021-09-15 12:15:15.090000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999330000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-38647は、Microsoft Open Management Infrastructure (OMI) に存在する深刻なリモートコード実行の脆弱性です。「OMIGOD」とも呼ばれています。

1. 脆弱性の概要

1.1 影響

この脆弱性は、認証されていないリモートの攻撃者が、細工されたHTTPリクエストを送信することで、脆弱なシステム上でroot権限で任意のコードを実行できるというものです。 OMIは、Microsoft AzureのLinux仮想マシンに自動的にインストールされるコンポーネントであり、Azure Automation、Azure Automatic Update、Azure Operations Management Suite、Azure Log Analytics、Azure Configuration Management、Azure Diagnostics、Azure Container Insightsなどの複数のAzureサービスで利用されています。

1.2 深刻度

CVSS v3の基本スコアは9.8（Critical）と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Microsoft Open Management Infrastructure (OMI) のバージョン1.6.8-1より前のバージョンが影響を受けます。

2.2 影響を受ける設定

OMIエージェントは、Azure Linuxサーバーで以下のサービスやツールが有効になっている場合に自動的にインストールされます。 * Azure Automation * Azure Automatic Update * Azure Operations Management Suite * Azure Log Analytics * Azure Configuration Management * Azure Diagnostics * Azure Container Insights

また、オンプレミスのSystem Center Operations Manager (SCOM) エージェントを使用しているLinuxサーバーにもOMIエージェントがデフォルトでインストールされます。 OMIサービスは、構成に応じてポート5985、5986、または1270でリッスンしています。攻撃は、これらのポート上のOMIサービスに悪意のあるSOAPエンベロープを送信することで行われます。

3. 影響を受けた時の兆候

明確な「兆候」として公開されている情報は見当たりませんが、この脆弱性はネットワークベースの攻撃であり、ユーザーの操作や認証は不要です。攻撃者は、認証ヘッダーを削除したPOSTリクエストをOMIのHTTP管理ポートに送信することで、任意のコマンドを管理特権で実行できます。そのため、OMIサービスがリッスンしているポートへの異常なネットワークトラフィックや、通常とは異なるプロセス実行がログに記録される可能性があります。インターネット上では、この脆弱性を狙った大規模スキャンが既に発生しているとの報告もあります。

4. 推奨対策

4.1 本対策

Microsoft Open Management Infrastructureをバージョン1.6.8-1以降にアップグレードしてください。このパッチは、Microsoft OMI AgentのGitHubリポジトリから直接入手可能です。 Azure OMIは自動的にこのパッチを適用しないため、ユーザーは手動でパッチを適用する必要があります。

4.2 暫定回避策（緩和策）

影響を受けるポート（通常は5986、5985、1270）へのインバウンド接続をブロックしてください。
OMIサービスへのネットワーク通信を制限してください。
McAfee製品を利用している場合、以下の対策が挙げられています。
- Endpoint Security for Linux Firewall: 影響を受けるポートへのインバウンド接続をブロックし、OMIサービスをネットワーク通信からブロックする。
- MVISION EDR / McAfee Active Response: ポートとユーザー権限での接続を検索するクエリを実行し、omiengineサービスからのトラフィックを特定する。
- Application Control: OMIサービスの実行を防止する。

5. 他に解説すべき観点

OMIGOD: この脆弱性は、複数のOMI関連脆弱性群の総称である「OMIGOD」の一つであり、特に認証なしでリモートコード実行が可能な点で最も深刻です。
認証バイパス: 根本原因は、OMIサービスにおける認証バイパスの脆弱性であり、HTTPリクエストのAuthorizationヘッダーの不適切な処理に起因します。 OMIサービスは、認証ヘッダーのないアクセスリクエストに対してroot権限で応答します。
PoCの存在: この脆弱性に対する概念実証（Proof-of-Concept, PoC）エクスプロイトスクリプトが公開されています。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る