【漏洞通告】Microsoft Dynamics 365 for Finance and Operations远程代码执行漏洞

北京时间2020年12月9日，微软MSRC发布了Microsoft Dynamics 365 for Finance and Operations服务器的远程代码执行漏洞CVE-2020-17152/17158公告。深信服安全研究团队依据漏洞重要性和影响力进行评估，作出漏洞通告。

Microsoft Dynamics 365 for Finance and Operations（以前称为Dynamics AX）是适用于中型到大型组织的Microsoft企业资源计划（ERP）系统。该软件是Dynamics 365产品线的一部分，通过智能，直观的用户界面为企业在财务、制造、供应链、仓库、库存和运输管理中统一财务和业务运营。

当攻击者通过身份认证, 攻击者通过向服务器的某个API发送一个伪造的请求, 将含有恶意反序列化的内容注入到服务器的反序列化流中, 能够在服务器执行任意命令, 甚至直接接管服务器, 利用难度和所需权限低。

受影响版本：

Dynamics 365 for Finance and Operations

目前厂商已发布升级补丁修复漏洞，请受影响用户尽快进行升级加固。补丁获取链接：

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17152

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17158

【深信服下一代防火墙】可轻松防御此漏洞，预计2020年12月11日及以后版本库支持该漏洞防御， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。
【深信服云盾】已第一时间从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。
【深信服安全感知平台】可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。
【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17152

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17158

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。