Peinlicher Azure-Bug: Passwortloser Login funktionierte bei VMs schon

Die Serie peinlicher Sicherheitslücken in den Azure-Diensten Microsofts hat einen neuen Höhepunkt erreicht. Angreifer konnten sich hier auf denkbar einfachste Art einen Root-Zugang zu den virtuellen Maschinen verschaffen. Die Sicherheitsforscher des Unternehmens Wiz, die das Problem entdeckten, gaben ihm den Namen OMIGOD. Dies spielt einerseits auf ihre Reaktion an, als sie den Fehler entdeckten, als auch daran, dass diesem die Open Management Infrastructure (OMI) Microsofts zugrunde liegt. Microsoft hat inzwischen eine Aktualisierung in seinen Datenzentren verteilt, die das Problem aus der Welt schaffen sollte.

"Das ist eine Remote Code Execution-Schwachstelle aus dem Lehrbuch, wie man sie in den 1990ern noch erwartet hätte. Es ist sehr ungewöhnlich, dass 2021 so etwas noch auftaucht und Millionen Nutzer angreifbar macht", erklärte Wiz-Sicherheitsforscher Nir Ohfeld. Angreifer mussten sich hier gar nicht erst damit aufhalten, mit ausgeklügelten Methoden Bugs in einem Authentifizierungs-System auszunutzen.

Viele Kunden betroffen

Vielmehr genügte es, den Authorization-Header komplett von einer Anfrage abzuschneiden. In diesem Moment ordnete das System dem Request uid=0 und gid=0 zu - was in der Praxis bedeutete, dass hier direkt ein Root-Zugang bereitgestellt wurde. Wenn OMI dann noch die Ports 5986, 5985 oder 1270 von außen erreichbar machte, was glücklicherweise nicht immer der Fall war, konnte quasi jeder ohne größeren Aufwand mit allen Rechten auf virtuelle Maschinen in der Microsoft-Cloud zugreifen.

Scans der Sicherheitsforscher kamen zu dem Ergebnis, dass rund 65 Prozent der Linux-Instanzen, die von Azure-Nutzern betrieben wurden, auf diesem Weg angreifbar waren. Kunden sollten nun darauf achten, dass die OMI-Installation in ihrer VM mindestens die Version 1.6.81 aufweist. Meist dürften die entsprechenden Updates automatisch in den Systemen landen. Nutzer des System Center sollten allerdings unbedingt manuell prüfen, auf welchem Stand OMI ist, da hier teils keine automatischen Aktualisierungen eingespielt werden.

Und wer den Schaden hat, muss auf den Spott nicht lange warten. Microsoft hatte immerhin kürzlich groß dafür geworben, dass man den Zugang zum Microsoft-Account demnächst ohne Passwort-Eingabe bekommen kann. Bei Azure-VMs sei das sogar heute schon möglich, scherzte man entsprechend in der Security-Szene.

Siehe auch: