McAfee Enterprise 覆盖 CVE-2021-38647 远程代码执行漏洞

技术文章 ID: KB94887
上次修改时间: 2021/10/20

环境

Linux运行 Azure 的 Open Management Infrastructure （OMI）代理的系统

摘要

本文的最近更新

日期	更新
2021 年 9 月 15 日	添加了 EDR RTS 查询。初始发布内容。

要在本文更新时收到电子邮件通知，请单击页面右侧的订购。您必须登录后才能订购。

McAfee Enterprise 正在调查最近漏洞（ CVE-2021-38647，由 Microsoft 报告为 2021 年 9 月补丁日周二安全更新的一部分）。此漏洞适用于 Azure OMI。该漏洞的CVSS（3.1)分数9.8.

CVE-2021-38647 被视为 Microsoft 最近发布的一系列漏洞中最重要的一个漏洞，一般称为"OMOMAD"漏洞。漏洞的完整列表为CVE-2021-38647,CVE-2021-38648,CVE-2021-38645和CVE-2021-38649. 有关详细信息，请参阅官方Microsoft CVE-2021-38647 更新手册.

问题

该漏洞可用于在运行基于 Linux 的操作系统并执行代码的虚拟工作负载上，通过根权限远程获取访问权限。通过发送 HTTP/S 请求并删除授权标题，攻击者可以使用该漏洞获取受受害者系统的根权限。

什么是 Azure OMI？

OMI Agent 被多种常用 Azure 服务利用。 Microsoft Azure 操作管理套件（OMS）和系统中心Linux，可参考内部部署 Linux 系统。

解决方案

必须注意，Microsoft OMI Agent 中已发行补丁，2021 年 9 月 11 日。系统所有者可以应用补丁来修复该漏洞。此补丁可从Microsoft OMI Agent GitHub 存储库下1.6.8-1 版本。

重要：要根据系统提供的安全更新对"OMOMAD"Microsoft提供足够保护，客户必须执行以下工作：手动操作以部署所需的补丁。 Azure OMI 不会自动应用此补丁。

McAfee Enterprise 产品解决方案如何帮助您？

McAfee Enterprise 正在评估我们这一部分的产品覆盖范围。当确定产品覆盖范围时，此文章将进行更新。

产品功能适用于以下组件：

Endpoint Security for Linux 防火墙：阻止受影响端口的入站连接;阻止 OMI 服务进行网络通信。
MVISION EDR/McAfee Active Response：按端口和用户权限搜索连接。
Real Time 搜索-
以下查询可用于识别运行 OMI Agent 的系统以及所安装服务相应的版本：

软件显示名称包含 omi 的软件和 HostInfo 主机名

以下查询可用于识别来自 omiengine 服务的流量：

进程和 CurrentFlow 和 HostInfo 主机名，其中进程名称等于 omiengine
Application Control ：阻止 OMI 服务执行。

注意： 通用 OMI 端口包括 5986、5985 和 1270。但是，OMI 端口的自定义配置选项可用。客户应内部调查其环境中正在使用哪些项目。此外，在进一步测试完成后，将详细说明这些步骤。

正在评估以下产品的其他产品覆盖范围：

Cloud Native Application Protection Platform （CNAPP）
Cloud Workload Protection Platform （CWPP）

要接收继续的更新，请订阅此文章和支持通知服务（SNS）。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

Application and Change Control 8.3.x
Application and Change Control 8.2.x
Application and Change Control 8.1.x
Application and Change Control 8.0.x
Best Practices
Endpoint Security for Linux Firewall 10.7.x
Endpoint Security for Linux Firewall 10.6.x
McAfee Active Response 2.x
MVISION EDR - All Versions
Threat Prevention and Removal
Vulnerability Response

语言:

此文章有以下语言版本：

English United States
Japanese
Chinese Simplified

Knowledge Center

McAfee Enterprise 覆盖 CVE-2021-38647 远程代码执行漏洞

环境

摘要

问题

解决方案

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

McAfee Enterprise 覆盖 CVE-2021-38647 远程代码执行漏洞

环境

摘要

问题

解决方案

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title