Vulnerabilidad en Microsoft Dynamics 365 Customer Engagement (on-premises) (CVE-2025-58112)

Microsoft Dynamics 365 Customer Engagement (local) 1612 (9.0.2.3034) permite la generación de informes personalizados a través de consultas SQL sin procesar en una carga de un archivo .rdl (Report Definition Language); esto es luego procesado por el SQL Server Reporting Service. Una cuenta con el privilegio Agregar informes de Reporting Services puede cargar un archivo rdl malicioso. Si el archivo rdl malicioso ya está cargado y es ejecutable por el usuario, el privilegio Agregar informes de Reporting Services no es necesario. Un actor malicioso puede desencadenar la generación del informe, causando la ejecución de comandos SQL arbitrarios en la base de datos subyacente. Dependiendo de los permisos de la cuenta que ejecuta SQL Server Reporting Services, el atacante puede ser capaz de realizar acciones adicionales, como acceder a servidores vinculados o ejecutar comandos del sistema operativo.