Microsoft Open Management Infrastructure (OMI) のリモートコード実行の脆弱性（CVE-2021-38647）

何が起きた

Azure の仮想マシン管理用の拡張機能などで使われる Open Management Infrastructure (OMI) に、遠隔からプログラムを動かされる弱点が見つかりました。Microsoft によると、OMI の HTTPS のポート（多くは 5986 番）を外から受け付ける設定のとき、攻撃者が細工したメッセージを送ることで悪用されるおそれがあります。CISA によると、この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も知られています。なお、Microsoft が公開した時点の情報では悪用は確認されていないとされていましたが、その後 CISA が悪用の確認された一覧（KEV）に加えています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Linux の仮想マシンなどで OMI を使っている組織が対象です。CVE の記録では、OMI Version 1.6.8-1 より前の版のほか、OMI を含む Log Analytics Agent、Azure Diagnostics (LAD)、System Center Operations Manager (SCOM) などが挙げられています。Microsoft によると、OMI を使う Azure のサービスの多くは、HTTPS のポートを外に開けずに配置しています。

何をすればいい

OMI を 1.6.8-1 以降に更新されているか確認してください。Log Analytics Agent は OMS Agent for Linux GA v1.13.40-0 以降が修正版として挙げられています。Microsoft の案内では、OMI のポートを待ち受けているかを netstat コマンドで確かめられます。あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• OMI を 1.6.8-1 以降に更新する
• Log Analytics Agent を v1.13.40-0 以降に更新する
• netstat で OMI のポートの待ち受けを確かめる

用語メモ

OMI

Open Management Infrastructure の略で、Linux などのサーバーを管理するための Microsoft のオープンソースのソフトウェアです。

ポート

ネットワークの通信を受け付ける窓口に付けられた番号です。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引き換えにお金を要求する不正なプログラムです。

netstat

コンピューターがどのポートで通信を待ち受けているかなどを表示するコマンドです。