Open Management Infrastructure Remote Code Execution Vulnerability

CVE-2021-38647, conhecida como OMIGOD, é um bypass de autenticação no agente Open Management Infrastructure (OMI) que a Microsoft instala silenciosamente em VMs Linux do Azure junto com extensões como Log Analytics, Azure Automation e Azure Security Center. Um atacante não autenticado que alcance a porta HTTPS do OMI consegue executar comandos como root na máquina, sem qualquer interação do usuário — daí o CVSS 9.8. O problema real não é a complexidade técnica do bug, e sim o fato de o agente ser instalado de forma invisível ao operador da VM, que muitas vezes nem sabe que o serviço está rodando e exposto.

O OMI é um servidor CIM/WBEM open source que processa requisições WS-Management via HTTP/HTTPS, tipicamente nas portas 5985, 5986 e 1270. O bug está no tratamento da autenticação HTTP pelo omiserver: quando uma requisição chega sem o cabeçalho Authorization, o código do agente, em vez de rejeitar a conexão, atribui à sessão um nível de privilégio elevado por padrão — na prática, tratando a ausência de credencial como se fosse uma chamada local/confiável, executada com privilégios de root, já que o omiserver roda como root por design.

O vetor é uma requisição HTTP/HTTPS direta contra a porta do OMI (5986 é a mais citada, mas 5985 e 1270 também expõem o serviço) invocando um método WS-Management como ExecInvoke, sem cabeçalho Authorization. Não há pré-condição de autenticação, configuração especial ou interação do usuário — basta acesso de rede à porta exposta, o que tornou VMs Azure com IP público e essas portas abertas trivialmente identificáveis via scan (a exposição em massa foi documentada por pesquisadores logo após a divulgação). A CISA confirma exploração ativa em ambiente real (está no catálogo KEV desde novembro de 2021), e existem módulo Metasploit e template Nuclei públicos, o que reduz a exploração a scan + requisição automatizada, sem necessidade de desenvolvimento de exploit.

A correção é atualizar o pacote OMI para 1.6.8.1 ou versão posterior. O ponto crítico é que essa atualização não é automática nem visível: como o OMI é instalado por extensões do Azure (Log Analytics/MMA, Azure Automation State Configuration, Diagnostics, Security Center, Sentinel, Container Monitoring), muitas VMs continuaram rodando versões vulneráveis mesmo depois do patch estar disponível, porque o pacote não é gerenciado pelo ciclo normal de atualização do SO. É necessário verificar manualmente a versão instalada (via gerenciador de pacotes da distro, ex.: rpm -qa omi ou dpkg -l omi) e atualizar o pacote diretamente ou reinstalar a extensão correspondente.

Em rede, indício de exploração é tráfego HTTP/HTTPS anômalo contra as portas 5985, 5986 e 1270 vindo de fora do intervalo esperado de administração, especialmente requisições WS-Management sem cabeçalho Authorization seguidas de invocação de métodos que executam comandos (ExecInvoke). Em host, checar logs do omiserver e processos filhos inesperados gerados por esse serviço rodando como root, além de conexões de saída incomuns originadas do processo omiagent/omiserver, que indicariam comando pós-exploração. Não há assinatura única confiável além dessas requisições sem autenticação; ambientes que nunca expuseram essas portas à internet não deixam rastro relevante.