Microsoft Dynamics 365 (on-premises): XXE-Informationsoffenlegung
Zusammenfassung
Microsoft Dynamics 365 (on-premises) enthält eine Schwachstelle bei der Verarbeitung externer XML-Entitäten (XXE), die Microsoft als Informationsoffenlegung einstuft. Ein Angreifer mit einem gültigen Konto mit niedrigen Rechten und Netzwerkzugriff auf die Anwendung kann die XML-Verarbeitung missbrauchen, um Daten zu lesen, auf die der Server zugreifen kann, zum Beispiel Konfigurationsdateien. Es ist keine Benutzerinteraktion nötig, und die Auswirkung beschränkt sich auf die Vertraulichkeit (CVSS 3.1: 6.5, Mittel).
Betroffen
- Microsoft Dynamics 365 (on-premises) ab 1710 (9.2.23071.136) vor dem Update vom November 2026, gemäss CVE-Eintrag (CNA: Microsoft)
- Abweichung in der Benennung: Der CVE-Eintrag nennt zusätzlich Microsoft Power Apps; als Umfang gilt das Produkt Dynamics, Bestätigung durch MSRC ausstehend
Behoben in
- Unbekannt. Microsoft hat die Korrektur im Patch Tuesday vom November 2026 veröffentlicht, die Build-Nummer der korrigierten Version konnte jedoch nicht überprüft werden. Massgeblich sind das MSRC-Advisory oder die Update-Tabelle von Dynamics 365.
Umgehung
- Kein Workaround des Herstellers identifiziert.
- Allgemeine Übergangsmassnahmen: Dynamics-Konten auf Benutzer beschränken, die sie benötigen, und prüfen, ob XML-Verarbeitungsfunktionen, die benutzergelieferte XML-Daten akzeptieren, erreichbar sind.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht in der CISA-KEV-Liste aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- Rapid7 stuft die Ausnutzung als unwahrscheinlich ein. CISA SSVC: Ausnutzung keine, automatisierbar nein.
Unsere Empfehlung
- Installierte Dynamics-365-Version prüfen und mit der korrigierten Version auf der MSRC-Seite vergleichen.
- Das Update vom November 2026 auf allen Anwendungs- und Frontend-Servern installieren.
- Falls Dynamics aus dem Internet erreichbar ist, Zugriffskontrolle und MFA sicherstellen und die letzten Anmeldungen prüfen.
- Prüfen, welches Dienstkonto den Dynamics-Anwendungsserver betreibt, und dessen Dateizugriff einschränken.
- MSRC und CISA-KEV auf Änderungen überprüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-122196 msrc.microsoft.com
- CVE Record CVE-2026-122196 www.cve.org
- BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
- Rapid7: Patch Tuesday November 2026 www.rapid7.com
- Strix.ai: CVE-2026-122196 www.strix.ai
- Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
- Vulners: CVE-2023-35389 (earlier Dynamics 365 XXE) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.