- CNNVD编号：未知
- 危害等级： 超危
- CVE编号：CVE-2020-17152、CVE-2020-17158
- 漏洞类型： 远程代码执行漏洞
- 威胁类型：远程
- 厂 商：未知
- 漏洞来源：深信服
- 发布时间：2020-12-16
- 更新时间：2021-01-14
漏洞简介
Microsoft Dynamics 365 for Finance and Operations（以前称为Dynamics AX）是适用于中型到大型组织的Microsoft企业资源计划（ERP）系统。该软件是Dynamics 365产品线的一部分，通过智能，直观的用户界面为企业在财务、制造、供应链、仓库、库存和运输管理中统一财务和业务运营。
当攻击者通过身份认证, 攻击者通过向服务器的某个API发送一个伪造的请求, 将含有恶意反序列化的内容注入到服务器的反序列化流中, 能够在服务器执行任意命令, 甚至直接接管服务器, 利用难度和所需权限低。
漏洞公示
参考网站
受影响实体
受影响版本：
Dynamics 365 for Finance and Operations
补丁
1 修复建议
目前厂商已发布升级补丁修复漏洞，请受影响用户尽快进行升级加固。补丁获取链接：
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17152
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17158
2 深信服解决方案
【深信服下一代防火墙】可轻松防御此漏洞，预计2020年12月11日及以后版本库支持该漏洞防御， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。
【深信服云盾】已第一时间从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。
【深信服安全感知平台】可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。
【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。
