Microsoft, yapay zeka (AI), bulut, kurumsal kaynak planlaması ve İş Ortağı Merkezi tekliflerini etkileyen dört güvenlik açığını ele aldı; bunlardan birinin vahşi ortamda istismar edildiğini söyledi.
“Kötüye Kullanım Tespit Edildi” değerlendirmesiyle etiketlenen güvenlik açığı CVE-2024-49035 (CVSS puanı: 8,7), partner.microsoft’ta bir ayrıcalık yükseltme hatası[.]com.
“Partner.microsoft’ta uygunsuz bir erişim kontrolü güvenlik açığı[.]com, kimliği doğrulanmamış bir saldırganın ağ üzerindeki ayrıcalıklarını yükseltmesine izin veriyor,” dedi teknoloji devi bu hafta yayınlanan bir danışma belgesinde.
Microsoft, kusuru bildirdikleri için Gautam Peri, Apoorv Wadhwa ve isimsiz bir araştırmacıya itibar etti, ancak gerçek dünyadaki saldırılarda bu kusurun nasıl kullanıldığına dair herhangi bir ayrıntı açıklamadı.
Eksikliklere yönelik düzeltmeler, Microsoft Power Apps’in çevrimiçi sürümüne yönelik güncelleştirmelerin bir parçası olarak otomatik olarak kullanıma sunuluyor. Redmond ayrıca, ikisi Kritik ve biri de önem derecesine göre Önemli olarak derecelendirilen diğer üç güvenlik açığını da ele aldı:
- CVE-2024-49038 (CVSS puanı: 9,3) – Copilot Studio’da yetkisiz bir saldırganın ağ üzerinden ayrıcalıkları yükseltmesine izin verebilecek bir siteler arası komut dosyası çalıştırma (XSS) güvenlik açığı
- CVE-2024-49052 (CVSS puanı: 8,2) – Microsoft Azure PolicyWatch’ta yetkisiz bir saldırganın ağ üzerinden ayrıcalıkları yükseltmesine izin verebilecek kritik bir işlev güvenlik açığına yönelik eksik kimlik doğrulama
- CVE-2024-49053 (CVSS puanı: 7,6) – Microsoft Dynamics 365 Sales’te, kimliği doğrulanmış bir saldırganın kullanıcıyı özel hazırlanmış bir URL’ye tıklaması için kandırmasına ve kurbanı potansiyel olarak kötü amaçlı bir siteye yönlendirmesine olanak tanıyan bir kimlik sahtekarlığı güvenlik açığı
Güvenlik açıklarının çoğu zaten tamamen azaltılmış ve herhangi bir kullanıcı eylemi gerektirmese de, CVE-2024-49053’e karşı güvenlik sağlamak amacıyla Android ve iOS için Dynamics 365 Sales uygulamalarının en son sürüme (3.24104.15) güncellenmesi önerilir.