The Microsoft Dynamics 365 (on-premises) is missing security updates. It is, therefore, affected by multiple vulnerabilities :

  - A cross site scripting vulnerability exists when Microsoft Dynamics 365 (on-premises) does not properly     sanitize a specially crafted web request to an affected Dynamics server. An authenticated attacker could     exploit the vulnerability by sending a specially crafted request to an affected Dynamics server. The     attacker who successfully exploited the vulnerability could then perform cross-site scripting attacks on     affected systems and run script in the security context of the current authenticated user. These attacks     could allow the attacker to read content that the attacker is not authorized to read, use the victim's     identity to take actions within Dynamics Server on behalf of the user, such as change permissions and     delete content, and inject malicious content in the browser of the user. The security update addresses the     vulnerability by helping to ensure that Dynamics Server properly sanitizes web requests. (CVE-2020-16858,     CVE-2020-16859, CVE-2020-16861, CVE-2020-16864, CVE-2020-16871, CVE-2020-16872, CVE-2020-16878)

  - A remote code execution vulnerability exists in Microsoft Dynamics 365 (on-premises) when the server fails     to properly sanitize web requests to an affected Dynamics server. An attacker who successfully exploited     the vulnerability could run arbitrary code in the context of the SQL service account. An authenticated     attacker could exploit this vulnerability by sending a specially crafted request to a vulnerable Dynamics     server. The security update addresses the vulnerability by correcting how Microsoft Dynamics 365     (on-premises) validates and sanitizes user input. (CVE-2020-16860, CVE-2020-16862)

Microsoft Dynamics 365（オンプレミス）にセキュリティ更新プログラムが適用されていません。したがって、以下の複数の脆弱性による影響を受けます。

  - Microsoft Dynamics 365（オンプレミス）が、影響を受けるDynamicsサーバーに対する巧妙に作りこまれたWebリクエストを適切にサニタイズしないとき、クロスサイトスクリプティング脆弱性があります。認証された攻撃者が、影響を受けるDynamicsサーバーに巧妙に作りこまれたリクエストを送信することで、この脆弱性を悪用する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現行の認証されたユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。これらの攻撃者が、読み取り権限を持たないコンテンツを読み取ったり、被害者の資格情報を利用し、被害者になりすましてDynamicsサーバー内でアクションを実行したり（アクセス許可の変更やコンテンツの削除など）、ユーザーのブラウザに悪意のあるコンテンツを挿入したりする可能性があります。セキュリティ更新プログラムは、DynamicsサーバーがWebリクエストを適切にサニタイズするよう徹底することにより、この脆弱性に対処しています。（CVE-2020-16858、CVE-2020-16859、CVE-2020-16861、CVE-2020-16864、CVE-2020-16871、CVE-2020-16872、CVE-2020-16878）

  - 影響を受けるDynamicsサーバーへのWebリクエストをサーバーが適切にサニタイズできないとき、Microsoft Dynamics 365（オンプレミス）にリモートコード実行の脆弱性があります。この脆弱性を悪用した攻撃者が、SQLサービスアカウントのコンテキストで任意のコードを実行する可能性があります。認証された攻撃者が、脆弱なDynamicsサーバーに巧妙に作りこまれたリクエストを送信することで、この脆弱性を悪用する可能性があります。セキュリティ更新プログラムは、Microsoft Dynamics 365（オンプレミス）がユーザー入力を検証およびサニタイズする方法を修正することにより、この脆弱性に対応します。（CVE-2020-16860、CVE-2020-16862）

Microsoft Dynamics 365 (內部部署) 缺少安全性更新。因此，此類應用程式受到多個弱點影響：

  - 當 Microsoft Dynamics 365 (內部部署) 未正確清理對受影響的 Dynamics 伺服器發出的特別建構 Web 要求時，存在跨網站指令碼弱點。經驗證的攻擊者可透過傳送特別建構的要求到受影響的 Dynamics 伺服器來利用該弱點。成功利用該弱點的攻擊者隨後可在受影響的系統上發動跨網站指令碼攻擊，並在目前經驗證使用者的安全內容中執行指令碼。攻擊者可利用這些攻擊讀取未授權攻擊者讀取的內容，使用受害者身分代表使用者在 Dynamics 伺服器內執行動作 (例如變更權限和刪除內容)，以及在使用者的瀏覽器內插入惡意內容。安全性更新透過協助確保 Dynamics 伺服器正確清理 Web 要求修復此弱點。(CVE-2020-16858、CVE-2020-16859、CVE-2020-16861、CVE-2020-16864、CVE-2020-16871、CVE-2020-16872、CVE-2020-16878)

  - 伺服器未能正確清理對受影響 Dynamics 伺服器的 Web 要求時，Microsoft Dynamics 365 (內部部署) 中存在遠端程式碼執行弱點。成功利用該弱點的攻擊者可在 SQL 服務帳戶的內容中執行任意程式碼。經驗證的攻擊者可將特別建構的要求傳送至易受影響的 Dynamics 伺服器，進而利用此弱點。安全性更新透過修正 Microsoft Dynamics 365 (內部部署) 驗證及清理使用者輸入的方式修復此弱點。(CVE-2020-16860、CVE-2020-16862)

Microsoft Dynamics 365（本地）缺少安全更新。因此，该应用程序受到多个漏洞的影响：

  - Microsoft Dynamics 365（本地）未正确清理对受影响 Dynamics 服务器的特别构建的 Web 请求时，存在跨站脚本漏洞。经过身份验证的攻击者可向受影响的 Dynamics 服务器发送特别构建的请求，进而利用此漏洞。成功利用此漏洞的攻击者随后可在受影响的系统上执行跨站脚本攻击，并在当前经身份验证的用户的安全环境中运行脚本。这些攻击会使攻击者读取自身无权读取的内容，利用受害者的身份，以用户的名义操作 Dynamics 服务器，例如更改权限、删除内容，以及在用户浏览器中注入恶意内容。此安全更新通过协助确保 Dynamics 服务器正确清理 Web 请求来修复此漏洞。（CVE-2020-16858、CVE-2020-16859、CVE-2020-16861、CVE-2020-16864、CVE-2020-16871、CVE-2020-16872、CVE-2020-16878）

  - 服务器未正确清理对受影响 Dynamics 服务器的 Web 请求时，Microsoft Dynamics 365（本地）存在远程代码执行漏洞。成功利用此漏洞的攻击者可在 SQL 服务帐户的环境中运行任意代码。经过身份验证的攻击者可向易受影响的 Dynamics 服务器发送特别构建的请求，进而利用此漏洞。此安全更新通过更正 Microsoft Dynamics 365（本地）验证和审查用户输入的方式来修复此漏洞。 （CVE-2020-16860、 CVE-2020-16862）

ID	名稱	產品	系列	已發布	已更新	嚴重性
140429	Security Updates for Microsoft Dynamics 365 (on-premises) (September 2020)	Nessus	Windows : Microsoft Bulletins	2020/9/8	2024/11/29	high
140429	Microsoft Dynamics 365（オンプレミス）用のセキュリティ更新プログラム（2020年9月）	Nessus	Windows : Microsoft Bulletins	2020/9/8	2024/11/29	high
140429	Microsoft Dynamics 365 (內部部署) 的安全性更新 (2020 年 9 月)	Nessus	Windows : Microsoft Bulletins	2020/9/8	2024/11/29	high
140429	Microsoft Dynamics 365（本地）安全更新（2020 年 9 月）	Nessus	Windows : Microsoft Bulletins	2020/9/8	2024/11/29	high

偵測

搜尋 Plugin

high

high

high

high