{"id":21501,"date":"2025-01-03T23:31:49","date_gmt":"2025-01-04T02:31:49","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=21501"},"modified":"2025-01-03T23:31:50","modified_gmt":"2025-01-04T02:31:50","slug":"falhas-graves-corrigidas-no-microsoft-dynamics-365-e-na-api-do-power-apps","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2025\/01\/exploits\/falhas-graves-corrigidas-no-microsoft-dynamics-365-e-na-api-do-power-apps\/","title":{"rendered":"Falhas Graves Corrigidas no Microsoft Dynamics 365 e na API do Power Apps"},"content":{"rendered":"\n<p style=\"text-align: justify;\">Em maio de 2024, a Microsoft corrigiu tr\u00eas graves vulnerabilidades de seguran\u00e7a que afetavam o Dynamics 365 e a API Web do Power Apps. As falhas, descobertas pela empresa de seguran\u00e7a cibern\u00e9tica Stratus Security, poderiam permitir a exposi\u00e7\u00e3o de dados sens\u00edveis, como informa\u00e7\u00f5es pessoais, hashes de senhas e endere\u00e7os de e-mail. A corre\u00e7\u00e3o dessas falhas \u00e9 um lembrete da import\u00e2ncia da seguran\u00e7a cibern\u00e9tica e da necessidade de vigil\u00e2ncia cont\u00ednua em ambientes corporativos.<\/p>\n<p>\u00a0<\/p>\n<p><strong>As Vulnerabilidades Identificadas<\/strong><\/p>\n<p><strong>1. Controle de acesso inadequado no filtro OData Web API<\/strong><\/p>\n<p>A primeira vulnerabilidade residia no filtro da API Web OData.<\/p>\n<ul>\n<li>\n<p style=\"text-align: justify;\"><strong>Problema<\/strong>:<br \/>A API n\u00e3o possu\u00eda controles de acesso adequados, permitindo que agentes maliciosos acessassem a tabela de contatos, que continha informa\u00e7\u00f5es confidenciais como nomes, endere\u00e7os, dados financeiros e hashes de senhas.<\/p>\n<\/li>\n<li>\n<p style=\"text-align: justify;\"><strong>M\u00e9todo de explora\u00e7\u00e3o<\/strong>:<br \/>Um invasor podia executar consultas booleanas iterativas para adivinhar hashes de senhas. Por exemplo:<\/p>\n<ul>\n<li>Enviar a consulta <code>startswith(adx_identity_passwordhash, 'a')<\/code>.<\/li>\n<li style=\"text-align: justify;\">Continuar o processo com consultas como <code>startswith(adx_identity_passwordhash, 'aa')<\/code> ou <code>startswith(adx_identity_passwordhash, 'ab')<\/code>.<\/li>\n<li style=\"text-align: justify;\">Repetir at\u00e9 identificar o hash completo.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p><strong>2. Vazamento de dados com cl\u00e1usula &#8220;orderby&#8221; no filtro OData Web API<\/strong><\/p>\n<p style=\"text-align: justify;\">A segunda falha envolvia o uso inadequado da cl\u00e1usula <code>orderby<\/code> na API para obter informa\u00e7\u00f5es espec\u00edficas da tabela de contatos, como o endere\u00e7o de e-mail principal (<code>EMailAddress1<\/code>).<\/p>\n<ul>\n<li style=\"text-align: justify;\"><strong>Problema<\/strong>:<br \/>A cl\u00e1usula permitia que invasores contornassem os controles de acesso para acessar informa\u00e7\u00f5es de colunas restritas.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p><strong>3. Explora\u00e7\u00e3o da API FetchXML para ignorar controles de acesso<\/strong><\/p>\n<p style=\"text-align: justify;\">A terceira vulnerabilidade estava na API FetchXML, usada para consultas avan\u00e7adas no Dynamics 365.<\/p>\n<ul>\n<li>\n<p style=\"text-align: justify;\"><strong>Problema<\/strong>:<br \/>Um invasor podia usar a fun\u00e7\u00e3o <code>orderby<\/code> em qualquer coluna para acessar dados restritos, ignorando completamente os controles de acesso existentes.<\/p>\n<\/li>\n<li>\n<p><strong>Diferen\u00e7a em rela\u00e7\u00e3o \u00e0s outras falhas<\/strong>:<br \/>Este m\u00e9todo n\u00e3o exigia a ordena\u00e7\u00e3o em ordem decrescente, tornando o ataque ainda mais flex\u00edvel.<\/p>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p><strong>Impacto das Vulnerabilidades<\/strong><\/p>\n<p>As falhas poderiam permitir que invasores:<\/p>\n<ul>\n<li><strong>Compilassem listas de dados confidenciais<\/strong>: Incluindo hashes de senhas e endere\u00e7os de e-mail.<\/li>\n<li><strong>Quebrassem senhas<\/strong>: Utilizando ataques de for\u00e7a bruta para descriptografar os hashes obtidos.<\/li>\n<li><strong>Vendesse ou utilizasse os dados para outros ataques<\/strong>: Como phishing direcionado ou invas\u00e3o de contas.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p><strong>Exemplos pr\u00e1ticos das explora\u00e7\u00f5es<\/strong><\/p>\n<p><strong>1. Exemplo de consulta boolean para descobrir hashes<\/strong>:<\/p>\n<p>startswith(adx_identity_passwordhash, &#8216;abc&#8217;) \/\/ Retorna verdadeiro se o hash come\u00e7ar com &#8220;abc&#8221;.<\/p>\n<p>\u00a0<\/p>\n<p><strong>2. Uso da cl\u00e1usula &#8220;orderby&#8221; para acessar dados<\/strong>:<\/p>\n<p>&lt;fetchxml&gt;<br \/>&lt;entity name=&#8221;contact&#8221;&gt;<br \/>&lt;attribute name=&#8221;EMailAddress1&#8243; \/&gt;<br \/>&lt;order attribute=&#8221;EMailAddress1&#8243; \/&gt;<br \/>&lt;\/entity&gt;<br \/>&lt;\/fetchxml&gt;<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Neste exemplo, um invasor consegue acessar o endere\u00e7o de e-mail principal de contatos sem os devidos privil\u00e9gios.<\/p>\n<p>\u00a0<\/p>\n<p><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEghzF2f9eR1a1EA_B5tbC_oJOFADI2gkmJGbG1GoN7r5Jv1__jJ5MIQW6-C86xfshURXp0N1kKr2gj59uNjB5k8AtxaNh1_1uBGciUaAGALrosPhQGrLglZSCRgrRZIc1SM1elTtJmim0galZrkgEg0nnN8pKLZPvGFATJeI8QfoFDRBSoXLkL_0hVvWdZX\/s728-rw-e365\/response.png\" class=\"gallery_colorbox\"><img loading=\"lazy\" decoding=\"async\" class=\"loaded aligncenter\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEghzF2f9eR1a1EA_B5tbC_oJOFADI2gkmJGbG1GoN7r5Jv1__jJ5MIQW6-C86xfshURXp0N1kKr2gj59uNjB5k8AtxaNh1_1uBGciUaAGALrosPhQGrLglZSCRgrRZIc1SM1elTtJmim0galZrkgEg0nnN8pKLZPvGFATJeI8QfoFDRBSoXLkL_0hVvWdZX\/s728-rw-e365\/response.png\"  alt=\"\" width=\"639\" height=\"439\" border=\"0\" data-original-height=\"500\" data-original-width=\"728\" \/><\/a><\/p>\n<p>\u00a0<\/p>\n<p><strong>Medidas tomadas e recomenda\u00e7\u00f5es<\/strong><\/p>\n<p><strong>Corre\u00e7\u00f5es implementadas pela Microsoft<\/strong><\/p>\n<p style=\"text-align: justify;\">As vulnerabilidades foram corrigidas em atualiza\u00e7\u00f5es lan\u00e7adas em maio de 2024, refor\u00e7ando os controles de acesso na API Web do OData e na API FetchXML.<\/p>\n<p>\u00a0<\/p>\n<p><strong>Recomenda\u00e7\u00f5es para empresas e usu\u00e1rios<\/strong><\/p>\n<ul>\n<li>\n<p><strong>Atualiza\u00e7\u00e3o cont\u00ednua de sistemas<\/strong>:<\/p>\n<ul>\n<li>Garantir que o Dynamics 365 e o Power Apps estejam sempre na vers\u00e3o mais recente.<\/li>\n<\/ul>\n<\/li>\n<li>\n<p><strong>Monitoramento ativo<\/strong>:<\/p>\n<ul>\n<li>Implementar solu\u00e7\u00f5es que identifiquem e bloqueiem tentativas de acesso n\u00e3o autorizado.<\/li>\n<\/ul>\n<\/li>\n<li>\n<p><strong>Princ\u00edpio de menor privil\u00e9gio<\/strong>:<\/p>\n<ul>\n<li>Restringir o acesso \u00e0s tabelas e fun\u00e7\u00f5es da API apenas para usu\u00e1rios e sistemas autorizados.<\/li>\n<\/ul>\n<\/li>\n<li>\n<p><strong>Auditorias de seguran\u00e7a<\/strong>:<\/p>\n<ul>\n<li>Realizar verifica\u00e7\u00f5es regulares em APIs expostas para identificar poss\u00edveis falhas de seguran\u00e7a.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p><strong>Conclus\u00e3o<\/strong><\/p>\n<p style=\"text-align: justify;\">As vulnerabilidades descobertas no Dynamics 365 e no Power Apps s\u00e3o um alerta para a import\u00e2ncia de pr\u00e1ticas de seguran\u00e7a robustas em sistemas cr\u00edticos. A corre\u00e7\u00e3o dessas falhas pela Microsoft demonstra a necessidade de a\u00e7\u00f5es proativas para proteger dados sens\u00edveis e evitar explora\u00e7\u00f5es maliciosas. Empresas devem adotar uma postura preventiva para mitigar riscos e garantir a seguran\u00e7a de suas informa\u00e7\u00f5es.<\/p>\n<p>\u00a0<\/p>\n<p>Fonte e imagens: <a href=\"https:\/\/thehackernews.com\/2025\/01\/severe-security-flaws-patched-in.html\" target=\"_blank\" rel=\"noopener\">https:\/\/thehackernews.com\/2025\/01\/severe-security-flaws-patched-in.html<\/a><\/p>\n<p>\u00a0<\/p>\n\n\n","protected":false},"excerpt":{"rendered":"<p>Em maio de 2024, a Microsoft corrigiu tr\u00eas graves vulnerabilidades de seguran\u00e7a que afetavam o Dynamics 365 e a API Web do Power Apps. As falhas, descobertas pela empresa de seguran\u00e7a cibern\u00e9tica Stratus Security, poderiam permitir a exposi\u00e7\u00e3o de dados sens\u00edveis, como informa\u00e7\u00f5es pessoais, hashes de senhas e endere\u00e7os de e-mail. A corre\u00e7\u00e3o dessas falhas [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":21512,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-21501","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21501","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=21501"}],"version-history":[{"count":9,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21501\/revisions"}],"predecessor-version":[{"id":21511,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21501\/revisions\/21511"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/21512"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=21501"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=21501"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=21501"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}