The version of Microsoft Dynamics 365 (on-premises) installed on the remote Windows host is 8.x prior to 8.2.3.0008. It is, therefore, affected by multiple vulnerabilities:

  - An elevation of privilege vulnerability exists due to an affected   server not sanitizing the user input properly. An authenticated,   remote attacker can exploit this, via sending a specially crafted   request, to gain elevated privileges. (CVE-2018-8654)

  - A cross-site scripting (XSS) vulnerability exists due to improper   validation of user-supplied input before returning it to users.
  An unauthenticated, remote attacker can exploit this, by convincing   a user to click a specially crafted URL, to execute arbitrary script   code in a user's browser session.
  (CVE-2018-8605, CVE-2018-8606, CVE-2018-8607, CVE-2018-8608)

  - A remote code execution vulnerability exists due to the server   failing to properly sanitize web requests to an affected   Dynamics server. An authenticated, remote attacker can exploit   this to execute arbitrary code in the context of the SQL service   account. (CVE-2018-8609)

リモートのWindowsホストにインストールされているMicrosoft Dynamics 365（オンプレミス）のバージョンは、8.2.3.0008より前の8.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - An elevation of privilege vulnerability exists due to an affected server not sanitizing the user input properly. An authenticated, remote attacker can exploit this, via sending a specially crafted request, to gain elevated privileges. (CVE-2018-8654)

  - ユーザー指定の入力をユーザーに返す前に不適切に検証しているため、クロスサイトスクリプティング (XSS ) の脆弱性があります。
  認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。
  (CVE-2018-8605, CVE-2018-8606, CVE-2018-8607, CVE-2018-8608)

  - A remote code execution vulnerability exists due to the server failing to properly sanitize web requests to an affected Dynamics server. An authenticated, remote attacker can exploit this to execute arbitrary code in the context of the SQL service account. (CVE-2018-8609)

遠端 Windows 主機上安裝的 Microsoft Dynamics 365 (內部部署) 版本是 8.2.3.0008 之前的 8.x 版。因此受到多個弱點影響：- 由於受影響的伺服器未正確清理使用者輸入，導致存在權限提升弱點。經過驗證的遠端攻擊者可惡意利用這點，透過傳送特製的要求取得提升的權限。(CVE-2018-8654) - 存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2018-8605、CVE-2018-8606、CVE-2018-8607 和 CVE-2018-8608) - 由於伺服器未正確清理對受影響 Dynamics 伺服器的 Web 要求，導致存在遠端程式碼執行弱點。經驗證的遠端攻擊者可惡意利用此弱點，在 SQL 服務帳戶的內容中執行任意程式碼。(CVE-2018-8609)

远程 Windows 主机上安装的 Microsoft Dynamics 365（本地）版本为低于 8.2.3.0008 的 8.x。因而会受到多个漏洞的影响：- 由于受影响的服务器未正确清理用户输入，导致存在权限提升漏洞。经过认证的远程攻击者可利用此问题，通过发送特制的请求来获取较高的权限。(CVE-2018-8654) - 由于未正确验证用户提供的输入便将其返回给用户，导致存在一个跨站脚本 (XSS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户单击特制的 URL，在用户的浏览器会话中执行任意脚本代码。（CVE-2018-8605、CVE-2018-8606、CVE-2018-8607 和 CVE-2018-8608）- 由于服务器未正确清理对受影响 Dynamics 服务器的 Web 请求，导致存在远程代码执行漏洞。经身份验证的远程攻击者可利用此问题，在 SQL 服务帐户环境中执行任意代码以。(CVE-2018-8609)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
123752	Microsoft Dynamics 365 (on-premises) 8.x < 8.2.3.0008 multiple vulnerabilities	Nessus	Windows	2019/4/4	2019/10/30	high
123752	Microsoft Dynamics 365（オンプレミス）8.x < 8.2.3.0008の複数の脆弱性	Nessus	Windows	2019/4/4	2019/10/30	high
123752	Microsoft Dynamics 365 (內部部署) 8.x < 8.2.3.0008 多個弱點	Nessus	Windows	2019/4/4	2019/10/30	high
123752	Microsoft Dynamics 365（本地）8.x < 8.2.3.0008 多个漏洞	Nessus	Windows	2019/4/4	2019/10/30	high

检测

插件搜索

high

high

high

high