Vulnerabilidade de execução remota de código da McAfee Enterprise Coverage for CVE-2021-38647

Artigos técnicos ID: KB94887
Última modificação: 01/07/2022

Ambiente

Linux sistemas que executam o Open Management Infrastructure (OMI) do Azure Agent

Resumo

Atualizações recentes deste artigo

Data	Atualização
15 de setembro de 2021	Consultas RTS do EDR adicionadas. Publicação inicial.

Para receber notificações por e-mail quando este artigo for atualizado, clique em Assinar na lateral direita da página. Você deve estar conectado para assinar.

A McAfee Enterprise está investigando uma vulnerabilidade recente, CVE-2021-38647, relatada por Microsoft como parte das atualizações de segurança de setembro de 2021 Patch Tuesday. Essa vulnerabilidade se aplica ao OMI do Azure. Essa vulnerabilidade é classificada com uma pontuação de 9.8.

CVSS ( 3.1 ) CVE-2021-38647 é considerado o mais crítico de uma coleta de vulnerabilidades recentes lançadas por Microsoft, coletivamente chamados de vulnerabilidades de "OMIGOD". A lista completa de vulnerabilidades é CVE-2021-38647, CVE-2021-38648, CVE-2021-38645e CVE-2021-38649. Para obter mais informações, consulte o artigo oficial Guia de atualização Microsoft no CVE-2021-38647.

Problema

Essa vulnerabilidade pode ser utilizada para obter acesso remoto com permissões de raiz em uma carga de trabalho virtual que execute um sistema operacional baseado em Linux e execute códigos. Ao enviar uma solicitação de HTTP/S com o cabeçalho de autorização removido, um atacante pode usar essa vulnerabilidade para obter permissões de raiz no sistema vítima.

O que é o OMI do Azure?

O Agent de OMI é aproveitado em vários serviços populares do Azure. Microsoft faz referência ao OMS (Azure Operations Management Suite) e ao System Center para Linux, que pode ser usado com sistemas de Linux local.

Solução

É importante observar que Microsoft lançou um patch no Agent OMI, lançado em 11 de setembro de 2021. Os proprietários do sistema podem aplicar o patch para corrigir a vulnerabilidade. Esse patch está disponível diretamente no repositório do Microsoft OMI Agent GitHub na 1.6.8 versão-1.

Importante: Para ser suficientemente protegido pelas atualizações de segurança fornecidas pelo Microsoft para "vulnerabilidades de" do OMIGOD, os clientes devem executar uma ação manual para distribuir os patches necessários. O OMI do Azure não aplica esse patch automaticamente.

Coma McAfee a ajuda das soluções de produtos corporativos?

A McAfee Enterprise está avaliando a cobertura de produtos em nosso portfólio. Este artigo será atualizado à medida que a cobertura do produto for identificada.

Os recursos do produto estão disponíveis para os seguintes componentes:

Endpoint Security for Linux Firewall: Bloquear conexões de entrada para portas afetadas; bloquear o serviço OMI a partir de comunicações de rede.
MVISION EDR/McAfee Active Response: Pesquisar conexões por porta e privilégio de usuário.
Pesquisa real time -
A consulta a seguir pode ser usada para identificar sistemas que executam o OMI Agent e a respectiva versão do serviço instalado:

software e HostInfo nome do host em que o software DisplayName contém OMI

A consulta a seguir pode ser usada para identificar o tráfego proveniente do serviço omiengine:

processos e CurrentFlow e HostInfo nome do host, onde o nome dos processos é igual a omiengine
Controle de aplicativos: Impeça a execução do serviço OMI.

Nota: Em Comum portas OMI são 5986, 5985 e 1270. No entanto, as opções de configuração personalizada para portas OMI estão disponíveis. Os clientes devem investigar internamente o que está sendo usado em seu ambiente. Além disso, à medida que mais testes forem realizados, essas etapas serão descritas em mais detalhes.

A cobertura do produto adicional está sendo avaliada para os seguintes produtos:

Plataforma de proteção de aplicativos nativas na nuvem (CNAPP)
Plataforma de proteção de carga de trabalho na nuvem (CWPP)

Para receber atualizações contínuas, assine este artigo e para oferecer suporte ao serviço de notificação (SNS).

Informações relacionadas

Para receber notificações por e-mail quando este artigo for atualizado, clique em Assinar na lateral direita da página. Você deve estar conectado para assinar.

Para receber informações sobre atualizações de produtos, Inscreva-se no serviço de notificação de suporte.

Aviso de isenção de responsabilidade

O conteúdo original deste artigo foi redigido em inglês. Se houver diferenças entre o conteúdo em inglês e sua tradução, o conteúdo em inglês será o mais exato. Parte deste conteúdo foi criado por meio de tradução automática da Microsoft.

Produtos afetados

Application and Change Control 8.3.x
Application and Change Control 8.2.x
Application and Change Control 8.1.x
Application and Change Control 8.0.x
Best Practices
Endpoint Security for Linux Firewall 10.7.x
Endpoint Security for Linux Firewall 10.6.x
McAfee Active Response 2.x
MVISION EDR - All Versions
Threat Prevention and Removal
Vulnerability Response

Idiomas:

Este artigo está disponível nos seguintes idiomas:

English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

Vulnerabilidade de execução remota de código da McAfee Enterprise Coverage for CVE-2021-38647

Ambiente

Resumo

Problema

Solução

Informações relacionadas

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Title

Title

Knowledge Center

Vulnerabilidade de execução remota de código da McAfee Enterprise Coverage for CVE-2021-38647

Ambiente

Resumo

Problema

Solução

Informações relacionadas

Aviso de isenção de responsabilidade

Produtos afetados

Idiomas:

Escolha a sua região

Title

Title