BDU:2024-04777

Высокий

BDU:2024-04777: Уязвимость программного средства для управления малым и средним бизнесом Microsoft Dynamics 365 Business Central, связанная с недостатками механизма десериализации, позволяющая нарушителю выполнить произвольный код

CVSS v38.8

CVSS v29.0

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программного средства для управления малым и средним бизнесом Microsoft Dynamics 365 Business Central связана с недостатками механизма десериализации. Эксплуатация уязвимости может позвонить нарушителю, действующему удаленно, выполнить произвольный код

Что делать с BDU:2024-04777

Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

8.8Высокий

Пересчитать →

9.0

Только просмотр

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:S/C:C/I:C/A:C

CWE — тип уязвимости

CWE-416

CVE — международный идентификатор

CVE-2024-35249

CWE-416

Использование после освобождения памяти

CWE-416 — использование после освобождения памяти: к блоку памяти обращаются после вызова free(). Ошибка возникает в C и C++ при работе с указателями, когда освобождённый блок используется в обработчике ошибки, деструкторе или отложенной задаче. Через такой указатель злоумышленник читает и меняет чужие данные и добивается выполнения произвольного кода.

Как атакуют и что делать ▾

Сценарий атаки

Программа обращается к блоку памяти после его освобождения. Атакующий заполняет освобождённую память своими данными.

Последствия

Выполнение произвольного кода, повышение привилегий.

Рекомендации

Обнуляйте указатели после free(), используйте smart pointers (C++), применяйте AddressSanitizer.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (3)

Вендор	Название	Версия	Платформа
Microsoft Corp	Microsoft Dynamics 365 Business Central	2023 Release Wave 1	Не указана
Microsoft Corp	Microsoft Dynamics 365 Business Central	2023 Release Wave 2	Не указана
Microsoft Corp	Microsoft Dynamics 365 Business Central	2024 Release Wave 1	Не указана

Источники (1)

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-35249

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации3.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2024-06-11

Опубликована

2024-06-24

Обновлена

2024-06-24

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2024-35249 MITRE: CWE-416 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК