CVE-2024-38182

Słabe uwierzytelnianie w Microsoft Dynamics 365 umożliwia privilege escalation

CVSS 9.0v3.1pub. 2024-07-31upd. 2025-11-14

Podatność w Microsoft Dynamics 365 polega na słabym mechanizmie uwierzytelniania, który pozwala nieuwierzytelnionemu atakującemu na podwyższenie uprawnień przez sieć. Krytyczny poziom CVSS 9.0 wskazuje na poważne zagrożenie dla poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

Weak authentication in Microsoft Dynamics 365 allows an unauthenticated attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Luka sklasyfikowana jako CWE-1390 (Weak Authentication) umożliwia obejście mechanizmów weryfikacji tożsamości w Microsoft Dynamics 365. Atakujący, bez posiadania jakichkolwiek poświadczeń, może przeprowadzić atak przez sieć i uzyskać podwyższone uprawnienia w systemie. Wektor CVSS wskazuje na brak wymogu interakcji użytkownika oraz brak konieczności posiadania wcześniejszych uprawnień, co obniża próg wejścia dla potencjalnego napastnika. Złożoność ataku jest jednak określona jako wysoka (AC:H), co sugeruje konieczność spełnienia określonych warunków środowiskowych.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na nieuprawnione podwyższenie uprawnień w środowisku Microsoft Dynamics 365, potencjalnie prowadząc do pełnego przejęcia kontroli nad systemem, utraty poufności danych biznesowych oraz naruszenia integralności i dostępności platformy.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38182