Microsoft ha recentemente risolto quattro vulnerabilità di sicurezza che interessano le sue offerte di intelligenza artificiale, cloud, pianificazione delle risorse aziendali e Partner Center, tra cui una che è stata sfruttata attivamente. La vulnerabilità identificata con una valutazione "Exploitation Detected" è CVE-2024-49035, un difetto di escalation dei privilegi in partner.microsoft.com con un punteggio CVSS di 8.7. Questo difetto consente a un attaccante non autenticato di elevare i privilegi su una rete a causa di un controllo di accesso improprio. Microsoft, nel suo avviso, ha ringraziato Gautam Peri, Apoorv Wadhwa e un ricercatore anonimo per la segnalazione del difetto, ma non ha fornito dettagli specifici su come viene sfruttato negli attacchi reali.

Le correzioni per queste carenze vengono distribuite automaticamente come parte degli aggiornamenti della versione online di Microsoft Power Apps. Oltre a questa vulnerabilità, Redmond ha affrontato altre tre vulnerabilità, due delle quali sono considerate critiche e una importante in termini di gravità.

Vulnerabilità Risolte

• CVE-2024-49038: una vulnerabilità di cross-site scripting (XSS) in Copilot Studio con un punteggio CVSS di 9.3, che potrebbe consentire a un attaccante non autorizzato di aumentare i privilegi su una rete.
• CVE-2024-49052: una vulnerabilità di autenticazione mancante per una funzione critica in Microsoft Azure PolicyWatch con un punteggio CVSS di 8.2, che potrebbe permettere a un attaccante non autorizzato di elevare i privilegi.
• CVE-2024-49053: una vulnerabilità di spoofing in Microsoft Dynamics 365 Sales con un punteggio CVSS di 7.6, che potrebbe permettere a un attaccante autenticato di indurre un utente a cliccare su un URL appositamente creato, potenzialmente reindirizzando la vittima verso un sito malevolo.

Sebbene la maggior parte delle vulnerabilità sia già stata completamente mitigata e non richieda alcuna azione da parte dell'utente, è consigliato aggiornare le app Dynamics 365 Sales per Android e iOS all'ultima versione (3.24104.15) per proteggersi contro CVE-2024-49053.