CVE-2024-49035

Суть уязвимости

CVE-2024-49035 представляет собой критическую уязвимость типа Improper Access Control (недостаточный контроль доступа) в приложении Microsoft Partner Center. Проблема заключается в некорректной проверке прав доступа на стороне сервера при обработке API-запросов.

Злоумышленник, обладающий учетными данными с низким уровнем привилегий, может манипулировать параметрами запросов для доступа к ресурсам или функциям, которые должны быть ограничены только для администраторов. Это позволяет выполнить эскалацию привилегий (Privilege Escalation) внутри экосистемы Partner Center, что потенциально ведет к несанкционированному управлению партнерскими аккаунтами, доступу к конфиденциальным данным клиентов или изменению настроек безопасности.

Как исправить

Поскольку Microsoft Partner Center является облачной платформой (SaaS), основная часть исправлений внедряется на стороне инфраструктуры Microsoft. Однако администраторам организаций необходимо убедиться, что локальные компоненты и интеграции обновлены.

1. Обновите модуль PowerShell для управления Partner Center до последней версии:

Update-Module -Name PartnerCenter

1. Если вы используете SDK для интеграции, обновите зависимости в вашем проекте (NuGet пакеты) до версий, выпущенных после ноября 2024 года:

Update-Package Microsoft.Store.PartnerCenter

1. Проведите ревизию назначенных ролей в панели управления Partner Center. Убедитесь, что пользователям назначены только минимально необходимые разрешения (принцип Least Privilege).

Временные меры

Если немедленное обновление интеграций невозможно, рекомендуется внедрить следующие защитные механизмы:

1. Включите обязательную многофакторную аутентификацию (MFA) для всех пользователей Partner Center, чтобы минимизировать риск использования скомпрометированных учетных записей.

2. Настройте политики условного доступа (Conditional Access) в Microsoft Entra ID, ограничив доступ к Partner Center только с доверенных IP-адресов или управляемых устройств:

New-MgIdentityConditionalAccessPolicy -DisplayName "Restrict Partner Center Access" -State "Enabled"

1. Активируйте расширенный аудит и мониторинг логов активности в Partner Center. Обращайте внимание на аномальные API-вызовы (ошибки 403 или 401, за которыми следуют успешные запросы к административным ресурсам).

2. Временно ограничьте использование самописных скриптов и сторонних приложений, использующих API Partner Center, до завершения полного аудита безопасности их логики взаимодействия с платформой.