Was ist passiert?
Am 20. Februar 2025 informierte uns Microsoft erstmals über unbefugte Aktivitäten eines staatlich gestützten Angreifers, die anhand der in Azure-Umgebungen erfassten Daten festgestellt worden waren. Commvault leitete umgehend eine Untersuchung unter Einbeziehung führender Cybersicherheitsexperten ein und veröffentlichte einenSicherheitshinweis.
Wir arbeiten mit den zuständigen Behörden und den bekannten betroffenen Kunden zusammen, sobald uns Informationen vorliegen. Im April hat Microsoft neue Erkenntnisse zu Sicherheitsbedrohungen bereitgestellt, und wir haben eineAktualisierungzum Sicherheitshinweis.
Was ist neu?
Nach Angaben von Branchenexperten nutzt dieser Angreifer ausgefeilte Techniken, um sich Zugang zu den M365-Umgebungen von Kunden zu verschaffen. Unsere bisherigen Untersuchungen deuten darauf hin, dass dieser Angreifer möglicherweise Zugriff auf einen Teil der Anmeldedaten für Anwendungen erlangt hat, die bestimmte Commvault-Kunden zur Authentifizierung in ihren M365-Umgebungen verwenden. Als Reaktion darauf hat Commvault mehrere Abhilfemaßnahmen ergriffen, die im Folgenden näher beschrieben werden, darunter die Änderung von Anmeldedaten. Commvault aktualisiert weiterhin die Indikatoren für Kompromittierung (IOCs), um Kunden die Untersuchung ihrer M365-Umgebungen zu ermöglichen.
Unsere Untersuchung hat ergeben, dass kein unbefugter Zugriff auf die von Commvault gespeicherten und geschützten Kundensicherungsdaten stattgefunden hat und dass keine wesentlichen Auswirkungen auf unseren Geschäftsbetrieb oder unsere Fähigkeit zur Bereitstellung von Produkten und Dienstleistungen zu verzeichnen sind.
Was wir tun, um unsere Kunden zu schützen:
- Rotation der von Commvault verwalteten Anmeldedaten für M365-Anwendungen und Verbesserung der Sicherheitsüberwachung.
- Aktualisierung von Sicherheitshinweisen,bewährte Verfahren, sowie IOCs.
- Bereitstellung optionaler Konfigurationen, die den neuesten Sicherheitsempfehlungen von Microsoft entsprechen.
- Förderung einer verantwortungsvollen Offenlegung von Sicherheitslücken und der Bereitstellung von Patches, insbesondere fürCVE-2025-3928Dies ist die bislang bekannte CVE im Zusammenhang mit dieser Sicherheitsmitteilung.
- Wir setzen unsere Ermittlungen fort, sobald wir Informationen über Bedrohungen erhalten.
Empfohlene Maßnahmen für Kunden:
- Für SaaS-Kunden, die benutzerdefinierte Anwendungen bereitgestellt haben
- Ändern Sie die von Commvault verwendeten Anmeldedaten für die M365-App so bald wie möglich.
- Validieren Sie die Registrierung erneut, um den Gültigkeitsbereich und die Berechtigungen korrekt festzulegen.
- Wenden Sie Richtlinien für den bedingten Zugriff auf jede einzelne verwendete Single-Tenant-Anwendung an.
- Setzen Sie den Grundsatz des geringstmöglichen Zugriffs mit streng begrenzten Berechtigungen durch.
- Halten Sie sich über die Sicherheitsmeldungen von Microsoft unddie Updates.
- Überprüfen Sie die EntraID-Auditprotokolle anhand der IOCs.
Kunden, die Fragen haben, können sich unterSecurityAdvisory@commvault.com.
