Sicherheitsanfälligkeit bezüglich siteübergreifender Skripterstellung im Microsoft Dynamics NAV 2013 R2-Webclient

Zusammenfassung

Es liegt eine Sicherheitsanfälligkeit bezüglich siteübergreifender Skripterstellung (Cross-Site Scripting, XSS) vor, wenn Microsoft Dynamics NAV 2013 R2 speziell gestaltete Webanforderungen auf einem betroffenen Dynamics NAV-Webclient nicht ordnungsgemäß bereinigt. Ein authentifizierter Angreifer kann die Sicherheitsanfälligkeit ausnutzen, indem er eine speziell gestaltete Anforderung an einen betroffenen Dynamics NAV-Webclient sendet. Weitere Informationen finden Sie unter CVE-2018-8651.

Bereitstellungsinformationen

Dieses Update basiert auf dem neuesten kumulativen Update für Dynamics NAV 2013 R2 (CU 51, Build 49751). Deshalb müssen Sie dieses Update vor diesem Update bereitstellen.

Das Updatepaket enthält den Dynamics NAV-Webclient, der durch Kopieren der entsprechenden Dateien in den Ordner Dynamics NAV Web Site bereitgestellt werden soll.

Herunterladen des Updatepakets

Sie können das Updatepaket über das Microsoft Download Center beziehen.

Bereitstellen des Updatepakets

1. Laden Sie das Updatepaket herunter. Es enthält den Ordner „WEB CLIENT“.

2. Suchen Sie den Ordner, in dem Sie den Dynamics NAV-Webclient installiert haben (normalerweise im Ordner C:\inetpub\wwwroot\<Instanzname>\WebClient).

   1. Öffnen Sie den Internetinformationsdienste-Manager (IIS).

   2. Wählen Sie Sites > Standardwebsite > Microsoft Dynamics NAV 2013 R2 Web Client > DynamicsNAV71 aus.

   3. Klicken Sie mit der rechten Maustaste auf den Ordner DynamicsNAV71, und wählen Sie Erkunden aus.

   4. Öffnen Sie den Ordner WebClient.

3. Beenden Sie den Internet Information Server, der den Webclient ausführt.

4. Kopieren Sie den Kontext des Ordners WEB CLIENT, den Sie in Schritt 1 heruntergeladen haben, und fügen Sie ihn im Ordner WebClient ein, den Sie in Schritt d von Schritt 2 geöffnet haben.

5. Starten Sie den Internet Information Server erneut.
   
   Das Updatepaket wird bereitgestellt.

Weitere Informationen

Wenn Sie den Dynamics NAV-Webclient starten, erhalten Sie eine Warnung, dass der Server und der Client nicht dieselbe Version aufweisen. Dies entspricht dem erwarteten Verhalten, da es sich um eine neue Version des Dynamics NAV-Webclients handelt. Um zu verhindern, dass diese Warnung für die Benutzer des Webclients angezeigt wird, können Sie die Warnung in der Serverkonfigurationsdatei deaktivieren. Gehen Sie dazu wie folgt vor:

1. Öffnen Sie die Microsoft Dynamics NAV 2013 R2-Administration (Verwaltungskonsolen-Snap-In).

2. Suchen und erweitern Sie im Konsolenstamm Microsoft Dynamics NAV > DynamicsNAV71 <Serverinstanzname>.

3. Die erste Einstellung auf dem allgemeinen Inforegister lautet „build restriction“ und ihre Standardeinstellung ist WarnClient. Legen Sie AlwaysConnect für diese Einstellung fest.

4. Wählen Sie die Schaltfläche Bearbeiten aus, und ändern Sie anschließend den Wert.

5. Wählen Sie die Schaltfläche Speichern aus. Wählen Sie anschließend OK aus, wenn die Aufforderung „Der neue Einstellungswert wird erst wirksam, wenn der Dienst beendet und neu gestartet wird“ angezeigt wird.

6. Starten Sie den Server wie folgt neu:

   1. Wählen Sie rechts in der Verwaltungskonsole Konsolenstamm > Microsoft Dynamics NAV aus.

   2. Wählen Sie im mittleren Bereich der Konsole den Dienst (DynamicsNAV71) aus.

   3. Wenn Sie die rechte Seite der Konsole auswählen, wird eine Option für den Neustart des Servers angezeigt. Wählen Sie OK aus. Der Server wird nun neu gestartet.