Microsoft Dynamics 365 Business Central: Path Traversal ermöglicht Rechteausweitung
Zusammenfassung
Eine Path-Traversal-Schwachstelle (CWE-22) in Microsoft Dynamics 365 Business Central erlaubt einem berechtigten Benutzer mit gültigem Konto, seine Rechte über das Netzwerk zu erweitern. Der CVSS-Vektor setzt niedrige Berechtigungen und keine Benutzerinteraktion voraus, die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Der CNA-Eintrag von Microsoft nennt Dynamics NAV 2018 als betroffen, die betroffenen Business-Central-Versionen konnten jedoch nicht bestätigt werden.
Betroffen
- Microsoft Dynamics NAV 2018: Versionen 1.0 bis unter 11.0.50736.0 (CNA-Eintrag; auf der MSRC-Seite nicht bestätigt)
- Microsoft Dynamics 365 Business Central (On-Premises): Versionen nicht bestätigt
- Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen
Behoben in
- Dynamics NAV 2018: Build 50736 oder neuer, gemäss einem Drittanbieter-Plugin für Nessus (nicht bestätigt; Cumulative Update 60 wird genannt)
- Business Central On-Premises: Unbekannt. Den korrekten Fix-Build pro Produkt auf der MSRC-Seite prüfen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Nicht im CISA-KEV-Katalog aufgeführt (gemäss Strix-Aggregator).
- Microsoft-Einstufung der Exploit-Reife: Unproven (E:U). EPSS-Wert 0.00917.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob Business Central (Version, On-Premises oder Online) oder NAV 2018 eingesetzt wird.
- Den Fix-Build für das eigene Produkt auf der MSRC-Seite beziehen und einspielen.
- On-Premises-Installationen der Version 26.x ausser Betrieb nehmen; eine Drittquelle nennt das Lebensende am 13. Oktober 2026 (bei Microsoft verifizieren).
- Konten mit Zugriff auf den Dienst prüfen und nicht benötigte Benutzer bis zum Patch entfernen.
- Netzwerkzugriff auf den Server einschränken.
- NVD und die MSRC-Seite erneut prüfen, sobald die NVD-Analyse abgeschlossen ist.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-105727 msrc.microsoft.com
- NVD record via Vulners vulners.com
- Strix: CVE-2026-105727 www.strix.ai
- Tenable Nessus plugin for Dynamics NAV 2018 (via Vulners) vulners.com
- Microsoft: Update 28.6 for Business Central 2026 release wave 1 support.microsoft.com
- Microsoft: Released updates for Business Central 2026 release wave 1 support.microsoft.com
- Lansweeper: Microsoft Dynamics end of life (third-party, unverified) www.lansweeper.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.