CVE 데이터베이스CVE-2021-38648

최종 갱신 2026-08-10English Advisory →

CVE-2021-386487.8/HIGHCISA KEV 등재

Microsoft Open Management Infrastructure (OMI) 권한 상승 및 인증 우회 취약점 (CVE-2021-38648)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

open management infrastructure, omi

권고문 발행일

2021-09-15

CVSS v3.1

7.8

HIGH

30일 악용확률

11.4%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Azure 환경 및 Linux 시스템에 설치된 Open Management Infrastructure (OMI) 1.6.8-1 미만 버전

파급 효과

공격자가 인증을 우회하여 로컬 권한을 상승시키거나 원격으로 시스템을 완전히 장악할 수 있습니다

권장 조치

OMI 패키지를 최신 버전(1.6.8-1 이상)으로 즉시 업데이트하고, 불필요한 OMI 수신 포트(5985, 5986)를 차단하십시오

영향받는 제품 및 버전 범위

Microsoft Open Management Infrastructure (OMI) 1.6.8-1 미만 버전 (Azure Linux VM 관리 확장 프로그램에 의해 자동 설치된 인스턴스 포함)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Linux 배포판별 패키지 관리자를 사용하여 OMI 패키지를 최신 버전(1.6.8-1 이상)으로 업그레이드합니다.

bash

# Debian/Ubuntu 계열 시스템 업그레이드
sudo apt-get update && sudo apt-get install --only-upgrade omi -y

# RHEL/CentOS 계열 시스템 업그레이드
sudo yum update omi -y

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 경우, 방화벽 규칙을 적용하여 외부에서 OMI 포트(5985, 5986)로 접근하는 트래픽을 즉시 차단해야 합니다.

bash

# iptables를 사용한 OMI 포트 외부 접근 차단
sudo iptables -A INPUT -p tcp --dport 5985 -j DROP
sudo iptables -A INPUT -p tcp --dport 5986 -j DROP

# ufw를 사용하는 경우
sudo ufw deny proto tcp from any to any port 5985,5986
sudo ufw reload

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 시스템에 설치된 OMI 버전을 확인하고, 포트 활성화 여부를 점검하는 스크립트입니다.

bash

# OMI 설치 버전 확인
if [ -f /opt/omi/bin/omiserver ]; then
    /opt/omi/bin/omiserver -v
else
    echo 'OMI가 설치되어 있지 않거나 표준 경로에 없습니다.'
fi

# OMI 포트(5985, 5986) 리스닝 상태 확인
sudo netstat -tulnp | grep -E '5985|5986'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

Azure 및 온프레미스 Linux 환경의 OMI 버전을 즉시 점검하고 최신 패치(1.6.8-1 이상)를 적용하여 외부 노출 포트를 차단하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(일명 'OMIGOD')은 Microsoft의 Linux용 오픈소스 관리 프레임워크인 Open Management Infrastructure (OMI)에서 발생하는 심각한 권한 상승 및 인증 우회 취약점입니다. OMI는 Windows의 WMI(Windows Management Instrumentation)에 대응하는 Linux용 서비스로, Azure의 수많은 Linux 가상 머신(VM) 관리 확장 기능에 기본 탑재되어 배포됩니다. 취약점의 근본 원인은 OMI가 HTTP/HTTPS 요청을 처리할 때 Authorization 헤더가 누락되거나 비어 있는 경우, 이를 '인증된 사용자'로 잘못 신뢰하여 기본 구조체 필드를 초기화하지 않고 처리를 계속 진행하는 설계 결함에 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 OMI 서비스가 수신 대기 중인 포트(기본 포트 HTTP 5985, HTTPS 5986)로 특수하게 조작된 SOAP(Simple Object Access Protocol) 요청을 전송합니다. 이때 HTTP 요청 헤더에서 'Authorization' 필드를 완전히 제거하거나 빈 값으로 전송하면, OMI 서버 내부의 인증 모듈은 이를 유효한 관리자 권한 요청으로 오인하게 됩니다. 이 인증 우회 메커니즘을 통해 공격자는 로컬 권한 상승(LPE)을 달성할 수 있을 뿐만 아니라, 포트가 외부에 노출되어 있는 경우 원격 코드 실행(RCE)으로 연계하여 대상 시스템의 루트(root) 권한을 완전히 획득할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 활발히 악용된 것으로 확인되었습니다. Azure 환경에서 구동되는 수많은 Linux VM 및 하이브리드 클라우드 인프라가 이 취약점에 노출되었으며, 공격자가 루트 권한을 탈취할 경우 내부 네트워크 침투, 데이터 유출, 랜섬웨어 유포, 가상자산 채굴 등 기업 비즈니스에 치명적인 중단과 재정적 손실을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Open Management Infrastructure Elevation of Privilege Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38648

출처: secure@microsoft.com · Patch, Vendor Advisory

http://packetstormsecurity.com/files/164925/Microsoft-OMI-Management-Interface-Authentication-Bypass.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38648

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38648

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2021-38648)

FAQ

Q1. CVE-2021-38648 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2021-38648의 기본 점수는 CVSS 7.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 11.4%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2021-38648에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 open management infrastructure, omi입니다. 상세 영향 범위: Microsoft Open Management Infrastructure (OMI) 1.6.8-1 미만 버전 (Azure Linux VM 관리 확장 프로그램에 의해 자동 설치된 인스턴스 포함)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] OMI 패키지를 최신 버전(1.6.8-1 이상)으로 즉시 업데이트하고, 불필요한 OMI 수신 포트(5985, 5986)를 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동