Han surgido detalles sobre tres vulnerabilidades de seguridad ahora parcheadas en Dynamics 365 y Power Apps Web API que podr\u00edan resultar en la exposici\u00f3n de datos.<\/p>\n
los defectos, descubierto<\/a> por la empresa de ciberseguridad Stratus Security, con sede en Melbourne, se han solucionado a partir de mayo de 2024. Dos de las tres deficiencias residen en Power Platform Filtro de API web de OData<\/a>mientras que la tercera vulnerabilidad tiene sus ra\u00edces en la API de recuperaci\u00f3n de XML<\/a>.<\/p>\n La causa principal de la primera vulnerabilidad es la falta de control de acceso en el filtro API web de OData, lo que permite el acceso a tabla de contactos<\/a> que sostiene informaci\u00f3n sensible<\/a> como nombres completos, n\u00fameros de tel\u00e9fono, direcciones, datos financieros y hashes de contrase\u00f1as.<\/p>\n Luego, un actor de amenazas podr\u00eda convertir la falla en un arma para realizar una b\u00fasqueda booleana para extraer el hash completo adivinando cada car\u00e1cter del hash secuencialmente hasta que se identifique el valor correcto.<\/p>\n “Por ejemplo, comenzamos enviando comienza con (adx_identity_passwordhash, ‘a’) y luego comienza con (adx_identity_passwordhash<\/a> ‘aa’) luego comienza con (adx_identity_passwordhash, ‘ab’) y as\u00ed sucesivamente hasta que devuelve resultados que comienzan con ab”, dijo Stratus Security.<\/p>\n “Continuamos este proceso hasta que la consulta arroje resultados que comiencen con ‘ab’. Finalmente, cuando no haya m\u00e1s caracteres que devuelvan un resultado v\u00e1lido, sabremos que hemos obtenido el valor completo”.<\/p>\n La segunda vulnerabilidad, por otro lado, radica en el uso de la cl\u00e1usula orderby en la misma API para obtener los datos de la columna necesaria de la tabla de la base de datos (por ejemplo, Direcci\u00f3n de correo electr\u00f3nico1<\/a>que se refiere a la direcci\u00f3n de correo electr\u00f3nico principal del contacto).<\/p>\n Por \u00faltimo, Stratus Security tambi\u00e9n descubri\u00f3 que la API FetchXML podr\u00eda explotarse junto con la tabla de contactos para acceder a columnas restringidas mediante una consulta de orden.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/01\/Graves-fallos-de-seguridad-solucionados-en-Microsoft-Dynamics-365-y.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n