Уязвимость в Microsoft Dataverse получила 9,8 балла из 10 по шкале CVSS (система оценки опасности уязвимостей). Она даёт возможность выполнить произвольный код на сервере. Выше этой оценки нет ни у одной из семи уязвимостей, которые Microsoft исправила в компонентах Dynamics. Правки касаются Dataverse, Business Central, Dynamics 365 в локальной установке и Power Apps. В списке затронутых продуктов числятся также Dynamics NAV 2017 и NAV 2018 под управлением Windows Server 2012.
Семь уязвимостей в Dataverse, Business Central и Power Apps
Все они относятся к бизнес-приложениям, где хранятся данные о клиентах, сделках, складах и расчётах. Уязвимость в таком ПО открывает путь к учётным записям сотрудников и к внутренним системам компании. Деньги и персональные данные делают последствия тяжелее, чем у сбоя в настольной программе.
В описании обновления перечислены четыре типа уязвимостей: выход за пределы разрешённого каталога (обход пути), внедрение SQL-кода (SQL-инъекция), ошибка проверки источника запроса и десериализация недоверенных данных. Обход пути позволяет читать файлы за пределами папки, отведённой приложению. Внедрение SQL-кода открывает доступ к базе данных через подставленные запросы. Ошибка проверки источника означает слабый контроль над тем, откуда пришёл запрос. Десериализация недоверенных данных опасна тем, что приложение принимает объекты из ненадёжного источника и выполняет заложенный в них код. Какой тип стоит за каждой конкретной проблемой, Microsoft не уточняет.
Три вида последствий вендор называет прямо: выполнение произвольного кода, получение повышенных прав и доступ к конфиденциальным данным. Первый означает контроль над процессом приложения, второй - работу от имени более привилегированной учётной записи, третий - чтение сведений, закрытых для текущего пользователя. Для системы учёта любая из трёх возможностей ведёт к персональным данным клиентов и коммерческой тайне.
Dataverse допускает выполнение произвольного кода
Ключевая по оценке - уязвимость CVE-2026-88131 в Microsoft Dataverse. Это платформа, где приложения Power Platform хранят и обрабатывают деловые данные. Проблема даёт возможность запускать на сервере чужой код, то есть выполнять команды без ведома владельца системы. Оценка 9,8 из 10 говорит о высокой степени угрозы. С Power Apps у Dataverse общая среда: приложения из конструктора могут хранить свои данные именно здесь, поэтому слабое место платформы затрагивает и их.
В Business Central четыре уязвимости
На Dynamics Business Central приходятся четыре уязвимости из семи. Две из них дают возможность получить повышенные права, ещё одна открывает путь к выполнению произвольного кода, последняя - к конфиденциальным данным. Оценки лежат в диапазоне от 7,5 до 8,8 балла, причём три уязвимости получили одинаковые 8,8. Business Central - это ERP-система (комплекс программ для управления ресурсами предприятия): склад, закупки, бухгалтерия, расчёт зарплаты. Ошибка в ней бьёт по всей цепочке поставок и по отчётности.
Dynamics 365 и Power Apps
Затронута локальная версия Dynamics 365, в списке указана 9.1. Её уязвимость оценена в 8,1 балла и ведёт к повышению привилегий. В Power Apps, конструкторе бизнес-приложений без программирования, проблема с оценкой 8,0 допускает выполнение кода. Оба продукта часто работают вместе с Dataverse, так что одна учётная запись нередко открывает доступ сразу к нескольким системам.
Локальные версии обновляют вручную
Microsoft распространяет исправления по обычным каналам. В облачных сервисах правки вносят на стороне поставщика, а локальные сборки - Dynamics 365 on-premises, NAV 2017 и NAV 2018 - устанавливает администратор компании. О реальных атаках с использованием этих уязвимостей в описании не сообщается.
Что делать администраторам
Загрузить исправления можно с портала Microsoft Security Response Center. До развёртывания доступ к серверам приложений из интернета лучше ограничить; неиспользуемые учётные записи с расширенными правами - отключить; параметры проверки источника запросов для внешних интеграций - пересмотреть. Ссылка на рекомендации вендора: https://portal.msrc.microsoft.com/en-us/security-guidance
Dynamics и связанные с ней сервисы держат финансовую отчётность, кадровые записи и клиентские базы. Один пакет исправлений закрывает семь уязвимостей сразу в шести продуктах, и такой набор проще обработать целиком, чем разбираться с каждой по отдельности. Компоненты платформы давно перестали быть вспомогательным инструментом, поэтому своевременное обновление здесь - часть обычной рабочей практики.
Ссылки
