Microsoft 365/Dynamics

In Microsoft Excel besteht eine Schwachstelle bei der Verarbeitung von Objekten im Speicher, die ein Angreifer zur Ausführung von beliebigem Code ausnutzen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 11.6 %.

In Microsoft Dynamics NAV ermöglicht die Deserialisierung nicht vertrauenswürdiger Daten einem nicht autorisierten Angreifer die Ausführung von Code über das Netzwerk. CVSS-Basiswert: 9.8 (Kritisch).

Laut Quelle erlaubt die Deserialisierung nicht vertrauenswürdiger Daten in M365 Copilot einem authentifizierten Angreifer, über das Netzwerk beliebigen Code auszuführen. Die Lücke ist mit niedrigen Rechten und ohne Benutzerinteraktion ausnutzbar (AV:N/AC:L/PR:L/UI:N), zeigt eine Scope-Änderung (S:C) und wirkt sich hoch auf Vertraulichkeit, Integrität und Verfügbarkeit aus (C:H/I:H/A:H). CVSS-Basiswert: 9.9 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor; eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Microsoft Copilot besteht eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen (Command Injection), die es einem nicht autorisierten Angreifer erlaubt, Code über das Netzwerk auszuführen. Die Ausnutzung erfordert laut Quelldaten eine Benutzerinteraktion. CVSS-Basiswert: 9.6 (Kritisch). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Empfohlene Massnahme: bereitgestellte Sicherheitsupdates des Herstellers einspielen, sobald sie verfügbar sind.

In Microsoft 365 Copilot fehlt bei einer kritischen Funktion die Authentifizierung. Ein nicht berechtigter Angreifer kann dadurch über das Netzwerk Informationen offenlegen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In M365 Copilot besteht eine Weiterleitung auf nicht vertrauenswürdige Seiten (Open Redirect). Ein nicht autorisierter Angreifer kann darüber seine Rechte über das Netzwerk ausweiten; für die Ausnutzung ist eine Nutzerinteraktion erforderlich. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Microsoft Dynamics 365 besteht eine fehlerhafte Zugriffskontrolle, über die ein autorisierter Angreifer seine Rechte über das Netzwerk ausweiten kann. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Laut CVSS-Vektor genügen niedrige Privilegien ohne Benutzerinteraktion, und die Auswirkung reicht über die betroffene Komponente hinaus.

In Microsoft Copilot ermöglicht eine Command-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in Befehlen) einem nicht autorisierten Angreifer über das Netzwerk die Manipulation von Daten oder Systemzuständen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Dynamics 365 Customer Voice werden Eingaben bei der Erzeugung von Webseiten unzureichend neutralisiert (Cross-Site-Scripting). Ein nicht autorisierter Angreifer kann darüber über das Netzwerk Spoofing-Angriffe durchführen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Microsoft Dynamics 365 (On-Premises) wurde eine unsachgemässe Kontrolle der Code-Generierung (Code Injection) festgestellt, die es einem authentifizierten Angreifer erlaubt, über ein Netzwerk Code auszuführen. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Microsoft Dynamics 365 (On-Premises) wurde eine unsachgemässe Kontrolle der Code-Generierung (Code Injection) identifiziert, die es einem authentifizierten Angreifer ermöglicht, über ein Netzwerk Code auszuführen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In M365 Copilot besteht eine Open-Redirect-Schwachstelle (Weiterleitung auf nicht vertrauenswürdige URLs), die einem nicht authentifizierten Angreifer ermöglicht, über das Netzwerk Privilegien zu erweitern. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Microsoft Exchange ermöglicht eine Server-Side-Request-Forgery-Schwachstelle (SSRF) einem authentifizierten Angreifer eine Privilegieneskalation über das Netzwerk. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Microsoft Dynamics 365 (Online) besteht eine Server-Side Request Forgery (SSRF)-Schwachstelle, die einem nicht authentifizierten Angreifer ermöglicht, über das Netzwerk Spoofing-Angriffe durchzuführen. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Eine unzureichende Validierung eines bestimmten Eingabetyps in Microsoft 365 Copilot erlaubt es einem nicht autorisierten Angreifer, Informationen über das Netzwerk offenzulegen. CVSS-Basiswert: 9.3 (Kritisch).

In der Microsoft Graphics Component besteht ein Heap-basierter Pufferüberlauf. Ein nicht autorisierter Angreifer kann darüber Code über das Netzwerk ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Eine unzureichende Neutralisierung von Sonderzeichen in Befehlen (Command Injection) in Copilot erlaubt einem nicht autorisierten Angreifer die Offenlegung von Informationen über ein Netzwerk. CVSS-Basiswert: 9.3 (Kritisch).

In Microsoft Copilot besteht eine unzureichende Neutralisierung von Sonderzeichen in einem Befehl (Command Injection). Ein nicht autorisierter Angreifer kann die Schwachstelle nutzen, um lokal einen Informationsabfluss herbeizuführen. CVSS-Basiswert: 9.3 (Kritisch).

In Copilot erlaubt die unzureichende Neutralisierung von Sonderzeichen eine Command-Injection, über die ein nicht autorisierter Angreifer Informationen über das Netzwerk preisgeben kann. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Die vom Hersteller bereitgestellten Sicherheitsupdates einspielen.

In der Grafikkomponente GDI+ von Windows besteht eine Heap-basierte Pufferüberlauf-Schwachstelle. Ein nicht autorisierter Angreifer kann sie über das Netzwerk ausnutzen, um beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch).

In Microsoft 365 Copilot ermöglicht eine KI-Command-Injection einem nicht authentifizierten Angreifer, über das Netzwerk vertrauliche Informationen offenzulegen. Die Lücke lässt sich aus der Ferne und ohne Benutzerinteraktion ansprechen. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: die von Microsoft bereitgestellten Aktualisierungen einspielen.

Eine schwache Authentifizierung in Microsoft Dynamics 365 erlaubt einem nicht authentifizierten Angreifer die Rechteausweitung über das Netzwerk. CVSS-Basiswert: 9.0 (Kritisch).

In der Base3D-Rendering-Engine besteht eine Schwachstelle bei der fehlerhaften Speicherverwaltung, die Remotecodeausführung ermöglicht. Ein Angreifer, der die Schwachstelle erfolgreich ausnutzt, kann Code auf einem betroffenen System ausführen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 11.7 %.

In Microsoft Outlook besteht eine Schwachstelle, die entfernte Codeausführung ermöglicht. Ein authentifizierter Angreifer kann sie über das Netzwerk ausnutzen. CVSS-Basiswert: 8.8 (Hoch).

In Microsoft Outlook besteht eine Schwachstelle, die eine Remotecodeausführung ermöglicht. Ein erfolgreicher Angriff kann zur Ausführung von Schadcode im Kontext des betroffenen Systems führen. Es wird empfohlen, die bereitgestellten Microsoft-Sicherheitsupdates einzuspielen. CVSS-Basiswert: 8.8 (Hoch).

Eine Schwachstelle in Microsoft Dynamics 365 Business Central ermöglicht die Ausführung von Schadcode aus der Ferne. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die von Microsoft bereitgestellten Sicherheitsupdates einspielen.

In Windows GDI besteht ein Stack-basierter Pufferüberlauf, der es einem authentifizierten Angreifer ermöglicht, lokal seine Berechtigungen auszuweiten. Betroffen sind laut Zuordnung Microsoft Windows sowie Microsoft 365/Dynamics und Microsoft Office. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.9 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind derzeit nicht belegt.

Microsoft Office enthält eine Schwachstelle, die die Ausführung von Schadcode ermöglicht (Remote Code Execution). Laut CVSS-Vektor erfolgt der Angriff über das Netzwerk bei hoher Angriffskomplexität, erfordert keine Berechtigungen, aber eine Benutzerinteraktion; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.8 %.

In Microsoft Dynamics Business Central/NAV besteht eine Schwachstelle, die zur Offenlegung von Informationen führen kann. CVSS-Basiswert: 8.0 (Hoch).

Microsoft Word ist von einer Remote-Code-Execution-Schwachstelle betroffen. Eine erfolgreiche Ausnutzung erfordert eine Nutzerinteraktion und lokalen Zugriff auf das betroffene System. CVSS-Basiswert: 7.8 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Laut NVD besteht im Visual Studio Tools for Office Runtime eine Spoofing-Schwachstelle. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Einspielen der von Microsoft bereitgestellten Sicherheitsupdates.

Microsoft Office enthält eine Schwachstelle, die die Ausführung von Schadcode ermöglicht (Remote Code Execution). Laut CVSS-Vektor erfolgt der Angriff lokal, erfordert keine besonderen Berechtigungen, aber eine Benutzerinteraktion; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %.

Microsoft Dynamics 365 Business Central enthält eine Elevation-of-Privilege-Schwachstelle. CVSS-Basiswert: 7.2 (Hoch).

In Microsoft Dynamics 365 Business Central besteht laut NVD eine Schwachstelle, die eine Rechteausweitung ermöglicht. CVSS-Basiswert: 8.8 (Hoch).

In Dynamics 365 Sales besteht eine Spoofing-Schwachstelle. Weitere technische Details liegen laut Quelle nicht vor. CVSS-Basiswert: 7.6 (Hoch).

In Microsoft Dynamics 365 Customer Engagement besteht eine Cross-Site-Scripting-Schwachstelle. Weitere technische Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 7.6 (Hoch).

Microsoft Dynamics 365 (on-premises) enthält eine Cross-Site-Scripting-Schwachstelle. Die Quelldaten enthalten keine weiteren Details zum Angriffsweg. CVSS-Basiswert: 7.6 (Hoch).

Microsoft Dynamics 365 (on-premises) weist eine Cross-Site-Scripting-Schwachstelle auf. CVSS-Basiswert: 7.6 (Hoch).

In Dynamics 365 Sales besteht eine Spoofing-Schwachstelle. Weitere technische Details liegen laut Quelle nicht vor. CVSS-Basiswert: 7.6 (Hoch).