Open Management Infrastructure Elevation of Privilege Vulnerability

CVE-2021-38648 é uma falha de elevação de privilégio no Open Management Infrastructure (OMI), o agente de gerenciamento CIM/WBEM que a Microsoft instala automaticamente em VMs Linux do Azure sempre que serviços como Azure Automation, Log Analytics, Azure Monitor/Diagnostics, Azure Sentinel ou Security Center são habilitados. Faz parte do conjunto de falhas conhecido como 'OMIGOD', descoberto pela Wiz Research em 2021, mas — diferente da RCE não autenticada CVE-2021-38647 (a 'estrela' do lote, CVSS 9.8) — esta tem vetor local: exige que o atacante já tenha alguma sessão de baixo privilégio na máquina. Importa porque o OMI roda como root e está presente, muitas vezes silenciosamente, em uma fração enorme do parque Linux do Azure sem que o administrador tenha instalado nada manualmente.

O OMI é uma implementação open-source (mantida pela Microsoft) de WBEM/CIM para Linux, equivalente funcional ao WMI do Windows. Ele expõe um listener de gerenciamento — via WS-Management sobre HTTP/HTTPS (portas 5985/5986) e também via socket local — através do qual comandos podem ser executados por provedores que rodam com privilégio de root. A CISA classifica esta CVE sob CWE-1390 (Weak Authentication), a mesma categoria raiz das outras três falhas do OMIGOD: o componente de autenticação do OMI trata a ausência ou manipulação de determinados cabeçalhos/credenciais de sessão como equivalente a uma sessão já autenticada e privilegiada, em vez de negar acesso.

O vetor descrito pela Microsoft para esta CVE específica é local (AV:L), com baixa complexidade, exigindo privilégio baixo já presente na máquina (PR:L) e nenhuma interação do usuário. Isso distingue CVE-2021-38648 das variantes de rede do mesmo lote: aqui o atacante precisa já ter pé na VM — por exemplo, uma conta de serviço limitada, um contêiner comprometido ou acesso obtido por outro vetor — e a partir daí interage com o processo/soquete local do OMI (que roda como root) para conseguir executar código ou obter privilégios de root, com impacto total em confidencialidade, integridade e disponibilidade.

A correção do fornecedor está na atualização do pacote OMI. A Microsoft e a Wiz Research apontam a versão 1.6.8-1 (também referida como 1.6.8.1), lançada em agosto de 2021, como a que corrige o conjunto OMIGOD, incluindo esta falha; ambientes Azure que usam as extensões afetadas (Log Analytics/OMS Agent, Azure Automation State Configuration/DSC, Azure Automation Update Management, Azure Diagnostics/LAD, Security Center, Sentinel, Container Monitoring, Azure Stack Hub) recebem o agente atualizado normalmente por atualização automática dessas extensões, mas VMs provisionadas antes do patch podem continuar com binário antigo até a extensão ser reimplantada — vale checar a versão instalada do pacote 'omi' diretamente na VM em vez de assumir que a extensão cuidou disso. Como controle compensatório, reduzir a superfície de exposição local (isolar contas de serviço com privilégio mínimo, restringir quem pode interagir com o socket/porta local do OMI) ajuda especificamente contra esta variante local; isso não substitui o patch nem resolve as variantes de rede do mesmo lote, que exigem bloquear/filtrar as portas 5985/5986/1270 se expostas.