Dynamics 365 Business Central: Path Traversal führt zu Rechteausweitung
Zusammenfassung
Eine Path Traversal-Schwachstelle (CWE-22) in Microsoft Dynamics Business Central erlaubt einem berechtigten Angreifer über das Netzwerk, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, aber keine Benutzerinteraktion. Eine Drittquelle nennt die Schwachstelle auch für Dynamics NAV 2018, weshalb vor allem lokal betriebene Installationen betroffen sind.
Betroffen
- Business Central: unbestätigt.
- Eine Drittquelle nennt Microsoft Dynamics NAV 2018 ab 1.0 bis vor 11.0.50736.0. Nicht gegen Microsoft verifiziert.
Behoben in
Unbekannt. Keine verifizierte korrigierte Version gefunden; Microsoft-Advisory prüfen.
Umgehung
- Keine Workaround-Massnahme des Herstellers in den Quellen gefunden.
- Übergangsmassnahmen (allgemeine Praxis, nicht aus einer Quelle): Zugriff auf gültige Business-Central/NAV-Konten einschränken, Netzwerkexposition lokaler Server begrenzen, Logs auf ungewöhnlichen Dateizugriff prüfen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht in KEV aufgeführt. EPSS 0.00917.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob lokal betriebene Business-Central- oder NAV-2018-Server im Einsatz sind.
- Diese Server priorisieren, insbesondere wenn sie aus dem Internet erreichbar sind oder von vielen Benutzern genutzt werden.
- Microsoft-Update installieren, sobald die korrigierte Version bestätigt ist; auch CVE-2026-105727 prüfen.
- Konten und Netzwerkzugriff einschränken und Logs überwachen.
- Business-Central-SaaS wird von Microsoft gepatcht.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-102226 msrc.microsoft.com
- NVD mirror on vulners: CVE-2026-102226 vulners.com
- Strix CVE record: CVE-2026-102226 www.strix.ai
- threatint CVE record: CVE-2026-102226 cve.threatint.com
- Nessus plugin for Dynamics NAV 2018 (October 2026 updates) vulners.com
- Microsoft Security Update Guide: CVE-2026-105727 (sibling CVE) msrc.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.