CVE 데이터베이스CVE-2021-38647

최종 갱신 2026-08-10English Advisory →

CVE-2021-386479.8/CRITICALCISA KEV 등재

Microsoft Azure OMI(Open Management Infrastructure) 원격 코드 실행 및 인증 우회 취약점 (CVE-2021-38647) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

open management infrastructure, omi

권고문 발행일

2021-09-15

CVSS v3.1

9.8

CRITICAL

30일 악용확률

99.9%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Azure Linux 가상 머신에 자동 설치되거나 독립적으로 배포된 Open Management Infrastructure (OMI) 1.6.8-1 미만 버전

파급 효과

공격자가 인증되지 않은 상태에서 특수하게 조작된 HTTP/S 요청을 전송하여 대상 시스템에서 root 권한으로 원격 코드를 실행할 수 있습니다

권장 조치

OMI 패키지를 최신 버전(1.6.8-1 이상)으로 즉시 업데이트하고, 외부에서 OMI 수신 포트(5985, 5986)로 접근하지 못하도록 방화벽 규칙을 설정하십시오

영향받는 제품 및 버전 범위

Microsoft Open Management Infrastructure (OMI) 1.6.8-1 미만 모든 버전 (Azure Linux VM 확장 기능을 통해 자동 설치된 인스턴스 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Azure Linux VM 및 독립형 Linux 서버에서 패키지 관리자를 사용하여 OMI 에이전트를 최신 보안 패치 버전(1.6.8-1 이상)으로 즉시 업그레이드합니다.

bash

# Debian/Ubuntu 계열 시스템
sudo apt-get update && sudo apt-get install --only-upgrade omi

# RHEL/CentOS 계열 시스템
sudo yum update omi -y

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 경우, 외부 및 내부 신뢰할 수 없는 네트워크로부터 OMI 서비스 포트(5985, 5986)로의 접근을 차단하는 방화벽 규칙을 적용합니다.

bash

# iptables를 사용한 외부 OMI 포트 접근 차단
sudo iptables -A INPUT -p tcp --dport 5985 -j DROP
sudo iptables -A INPUT -p tcp --dport 5986 -j DROP

# UFW(Ubuntu)를 사용한 로컬호스트 외 접근 차단
sudo ufw deny proto tcp from any to any port 5985
sudo ufw deny proto tcp from any to any port 5986

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 설치된 OMI 버전을 확인하고, 시스템 로그에서 인증 우회 시도 및 비정상적인 root 권한 명령 실행 흔적을 탐지합니다.

bash

# 1. 설치된 OMI 버전 확인
/opt/omi/bin/omiserver -v

# 2. OMI 로그에서 인증 우회 및 원격 명령 실행 흔적 검색 (auth_failed 또는 execute_command 패턴 분석)
grep -Ei 'execute|shell|command' /var/opt/omi/log/omiserver.log 2>/dev/null

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

CISA KEV 등재 및 실제 공격 사례가 확인된 취약점이므로, Azure Linux VM의 OMI 버전을 즉시 1.6.8-1 이상으로 업데이트하고 외부 포트 노출을 차단하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(일명 'OMIGOD')은 Microsoft Azure Linux VM 관리 및 모니터링을 위해 널리 사용되는 오픈소스 에이전트인 Open Management Infrastructure (OMI)에서 발생하는 치명적인 인증 우회 및 원격 코드 실행(RCE) 취약점입니다. 취약점의 근본 원인은 OMI가 수신한 HTTP 요청의 Authorization 헤더를 검증하는 과정에서 발생합니다. OMI는 클라이언트가 Authorization 헤더를 아예 전송하지 않거나 빈 값을 보낼 때, 이를 '이미 인증된 로컬 통신'으로 잘못 신뢰하여 구조체 내부의 인증 플래그를 활성화하는 치명적인 논리적 오류(CWE-287)를 가지고 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 OMI 서비스가 외부로 노출된 포트(기본 HTTP 5985, HTTPS 5986)를 대상으로 특수하게 조작된 SOAP(Simple Object Access Protocol) 요청을 전송합니다. 이때 HTTP 요청 헤더에서 'Authorization' 필드를 완전히 생략하거나 빈 값으로 구성합니다. OMI 서버는 이 요청을 수신하면 인증 단계를 건너뛰고 요청에 포함된 명령 실행 클래스(예: ExecuteShellCommand)를 처리합니다. 이 과정에서 어떠한 사용자 자격 증명 검증도 수행되지 않으므로, 공격자는 단 한 줄의 네트워크 패킷 전송만으로 대상 시스템에서 최고 관리자 권한(root)으로 임의의 쉘 명령을 실행할 수 있게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 치명적인 등급을 받았으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 활발히 악용되고 있음이 확인되었습니다. Azure 환경에서 다수의 Linux VM 확장 기능(Log Analytics, Azure Diagnostics, Azure Automation 등)이 백그라운드에서 OMI를 자동으로 설치하여 구동하므로, 관리자가 인지하지 못한 상태에서 인프라 전체가 침해 위협에 노출될 수 있습니다. 공격자가 root 권한을 획득할 경우 내부 네트워크 침투, 데이터 유출, 랜섬웨어 유포 및 암호화폐 채굴기 설치 등 기업 비즈니스에 치명적인 중단을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Open Management Infrastructure (OMI) Remote Code Execution Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647

출처: secure@microsoft.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/164694/Microsoft-OMI-Management-Interface-Authentication-Bypass.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38647

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38647

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2021-38647)

FAQ

Q1. CVE-2021-38647 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-38647의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 99.9%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-38647에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 open management infrastructure, omi입니다. 상세 영향 범위: Microsoft Open Management Infrastructure (OMI) 1.6.8-1 미만 모든 버전 (Azure Linux VM 확장 기능을 통해 자동 설치된 인스턴스 포함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] OMI 패키지를 최신 버전(1.6.8-1 이상)으로 즉시 업데이트하고, 외부에서 OMI 수신 포트(5985, 5986)로 접근하지 못하도록 방화벽 규칙을 설정하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동