Microsoft ha solucionado cuatro vulnerabilidades de seguridad que afectan sus servicios de inteligencia artificial (IA), nube, planificación de recursos empresariales (ERP) y la plataforma Partner Center. Una de estas vulnerabilidades ya ha sido aprovechada activamente, según la compañía.
La falla identificada como CVE-2024-49035, con una calificación CVSS de 8.7 y etiquetada como «Exploitation Detected» (Explotación Detectada), es una vulnerabilidad de escalada de privilegios en partner.microsoft[.]com.
«Una falla de control de acceso insuficiente en partner.microsoft[.]com permite a un atacante no autenticado obtener privilegios elevados a través de una red», explicó Microsoft en un aviso publicado esta semana.
Microsoft reconoció a Gautam Peri, Apoorv Wadhwa y un investigador anónimo por informar sobre esta vulnerabilidad, aunque no proporcionó detalles sobre cómo se está explotando en ataques reales.
Las actualizaciones para resolver estas vulnerabilidades están siendo implementadas automáticamente a través de la versión en línea de Microsoft Power Apps. Además, Redmond corrigió tres fallos adicionales, dos clasificados como Críticos y uno como Importante:
- CVE-2024-49038 (CVSS: 9.3): Una vulnerabilidad de cross-site scripting (XSS) en Copilot Studio, que podría permitir a un atacante no autorizado obtener privilegios elevados a través de una red.
- CVE-2024-49052 (CVSS: 8.2): Una falla en la autenticación de una función crítica de Microsoft Azure PolicyWatch, que podría permitir a un atacante no autenticado aumentar sus privilegios en la red.
- CVE-2024-49053 (CVSS: 7.6): Una vulnerabilidad de suplantación en Microsoft Dynamics 365 Sales, que podría engañar a un usuario autenticado para hacer clic en un enlace manipulado y redirigirlo potencialmente a un sitio web malicioso.
Aunque la mayoría de los fallos ya han sido mitigados y no requieren intervención por parte de los usuarios, se recomienda actualizar las aplicaciones Dynamics 365 Sales para Android y iOS a la última versión (3.24104.15) para protegerse contra la vulnerabilidad CVE-2024-49053.
