Vulnérabilité de script de site à site dans le client web Microsoft Dynamics NAV 2013 R2

Résumé

Il existe une vulnérabilité de script de site à site lorsque Microsoft Dynamics NAV 2013 R2 ne nettoie pas correctement des requêtes web spécialement conçues sur un client web Dynamics NAV affecté. Un attaquant authentifié pourrait exploiter cette vulnérabilité en envoyant une requête spécialement conçue à un client web Dynamics NAV affecté. Pour plus d’informations, voir CVE-2018-8651.

Informations de déploiement

Cette mise à jour est basée sur la dernière mise à jour cumulative de Dynamics NAV 2013 R2 (CU 51, build 49751). Vous devez dès lors déployer cette mise à jour avant celle-ci.

Le package de mise à jour contient le client web Dynamics NAV, qui doit être déployé en copiant les fichiers fournis dans le dossier Dynamics NAV Web Site.

Comment télécharger le package de mise à jour

Vous pouvez obtenir le package de mise à jour via le Centre de téléchargement Microsoft.

Comment déployer le package de mise à jour

1. Téléchargez le package de mise à jour. Il contient un dossier nommé « WEB CLIENT ».

2. Localisez le dossier dans lequel vous avez installé le client web Dynamics NAV (il est généralement situé dans le dossier C:\inetpub\wwwroot\<nom_instance>\WebClient).

   1. Ouvrez le Gestionnaire des services IIS.

   2. Sélectionnez Sites > Site Web par défaut > Client web Microsoft Dynamics NAV 2013 R2 > DynamicsNAV71.

   3. Cliquez avec le bouton droit sur le site du dossier DynamicsNAV71, puis sélectionnez Explorer.

   4. Ouvrez le dossier WebClient.

3. Arrêtez le serveur Internet Information Server (IIS) qui exécute le client web.

4. Copiez le contexte du dossier WEB CLIENT téléchargé à l’étape 1 et collez-le dans le dossier WebClient ouvert à l’étape d de l’étape 2.

5. Redémarrez le serveur IIS.
   
   Le package de mise à jour est déployé.

Informations supplémentaires

Lorsque vous démarrez le client web Dynamics NAV, un avertissement s’affiche pour signaler que le serveur et le client n’ont pas la même version. Cette situation est prévue en raison d’une nouvelle version du client web Dynamics NAV. Pour empêcher l’affichage de cet avertissement pour les utilisateurs du client web, vous pouvez le désactiver dans le fichier de configuration du serveur. Pour cela, procédez comme suit :

1. Ouvrez Microsoft Dynamics NAV 2013 R2 Administration (logiciel enfichable de console de gestion).

2. À la racine de la console, localisez et développez Microsoft Dynamics NAV > DynamicsNAV71 <nom_instance_serveur>.

3. Le premier paramètre sous l’organisateur Général est nommé « build restriction » (restriction de génération) ; sa valeur par défaut est WarnClient. Attribuez la valeur AlwaysConnect.

4. Sélectionnez le bouton Modifier, puis modifiez la valeur.

5. Sélectionnez le bouton Enregistrer, puis sélectionnez OK à l’invite « La nouvelle valeur du paramètre ne sera appliquée que lorsque vous aurez arrêté et redémarré le service ».

6. Redémarrez le serveur en procédant comme suit :

   1. Sélectionnez Racine de la console > Microsoft Dynamics NAV dans le site de droite de la console de gestion.

   2. Sélectionnez le service (DynamicsNAV71) dans la zone du milieu de la console.

   3. Lorsque vous sélectionnez le côté droit de la console, une option permettant de redémarrer le serveur s’affiche. Sélectionnez OK pour redémarrer le serveur.