Trusted Design

CVE-2025-3928 の詳細

CVEの情報

説明:
Commvault Web Server has an unspecified vulnerability that can be exploited by a remote, authenticated attacker. According to the Commvault advisory: "Webservers can be compromised through bad actors creating and executing webshells." Fixed in version 11.36.46, 11.32.89, 11.28.141, and 11.20.217 for Windows and Linux platforms. This vulnerability was added to the CISA Known Exploited Vulnerabilities (KEV) Catalog on 2025-04-28.

CVE更新日: 2025-04-25 16:15:27.817000

CVSSバージョン: 4.0

CVSSスコア: 8.7

KEVの情報

KEV更新日: 2025-04-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.024840000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: False

AIを使った解説

解説:

CVE-2025-3928について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-3928は、Commvault Web Serverにおける未指定の脆弱性です。この脆弱性は、認証されたリモート攻撃者がWebシェルを作成し、実行することを可能にします。本脆弱性は、国家が関与する脅威アクターによってゼロデイ脆弱性として悪用されました。

1.1 影響

  • リモートコード実行 (RCE) が可能になります。
  • Webシェルを作成および実行することで、Webサーバーが侵害される可能性があります。
  • 深刻なデータ侵害やサービス中断につながる可能性があります。
  • CommvaultのMetallic SaaSプラットフォームでは、顧客のMicrosoft 365サービスプリンシパル資格情報への不正アクセスにつながり、顧客のMicrosoft 365環境へのアクセスを許してしまう可能性がありました。
  • Commvaultは、顧客のバックアップデータへの不正アクセスはなかったと述べていますが、Microsoftと共通の少数の顧客に影響がありました。

1.2 深刻度

  • CVSS v4.0 スコア: 8.7 (HIGH)
  • CVSS v3.1 スコア: 8.8 (HIGH)
  • CVSS v3.1 ベクター: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • これは、リモートから低い攻撃複雑性で悪用可能であり、低い権限でユーザーとの対話なしに機密性、完全性、可用性の高い影響を与えることを示しています。
  • 「Critical Impact（致命的な影響）」に分類されています。
  • 本脆弱性は、活発な悪用が確認されたため、2025年4月28日にCISAの既知の悪用されている脆弱性（KEV）カタログに追加されました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Commvault Web Serverは、WindowsおよびLinuxプラットフォームの両方に影響があります。 影響を受けるCommvaultソフトウェアのバージョンは以下の通りです。

  • 11.20.0 - 11.20.216 (修正済みバージョン: 11.20.217)
  • 11.28.0 - 11.28.140 (修正済みバージョン: 11.28.141)
  • 11.32.0 - 11.32.88 (修正済みバージョン: 11.32.89)
  • 11.36.0 - 11.36.45 (修正済みバージョン: 11.36.46)

2.2 影響を受ける設定

  • Commvault Web Serverコンポーネント。
  • インターネットに公開されているシステム。
  • 悪用には認証済みアクセス（低い権限）が必要です。
  • CommvaultのMetallic SaaSプラットフォーム、特にMicrosoft 365バックアップに関連する設定。

3. 影響を受けた時の兆候

  • CommvaultのAzure環境内での不正な活動。
  • Webシェルの展開および実行。
  • Microsoft Entra監査ログにおけるCommvaultツールによって行われたログイン資格情報の異常な変更。
  • 許可されたIPアドレス範囲外からのアクセス試行。
  • 悪意のある活動に関連付けられた特定のIPアドレス（例: 108.69.148.100、128.92.80.210、184.153.42.129、108.6.189.53、159.242.42.20）からのアクセス。

4. 推奨対策

4.1 本対策

  • Commvaultがリリースしたセキュリティパッチを適用してください。
  • WindowsおよびLinuxプラットフォーム向けに、以下の修正済みバージョンにアップグレードしてください。
    • 11.36.46
    • 11.32.89
    • 11.28.141
    • 11.20.217
  • Commvault SaaSの顧客の場合、必要なパッチはCommvaultによって自動的に展開されるため、顧客側での対応は不要です。

4.2 暫定回避策（緩和策）

  • Azure統合/Microsoft 365に使用されるクライアントシークレットを90日ごとにローテーションしてください。
  • すべてのMicrosoft 365、Dynamics 365、およびAzure ADシングルテナントアプリ登録に条件付きアクセスポリシーを適用してください。
  • 許可されたIP範囲外からのアクセス試行を検出するためにサインイン活動を監視してください。
  • 既知の悪意のあるIPアドレス（108.69.148.100、128.92.80.210、184.153.42.129、108.6.189.53、159.242.42.20）を条件付きアクセスポリシー内で明示的にブロックし、Azureサインインログで監視してください。
  • Microsoft Entra監査ログで、Commvaultツールによって行われたログイン資格情報の異常な変更を確認してください。
  • 強力なアクセス制御と継続的な監視を実装してください。
  • インシデント対応計画を策定し、訓練を行ってください。

他に解説すべき観点

  • この脆弱性は2025年2月に発見され、その後、国家が関与する脅威アクターによってゼロデイ攻撃として悪用されました。
  • CISAは2025年4月28日に本脆弱性をKEVカタログに追加し、連邦政府機関に対して2025年5月19日までにパッチを適用するよう期限を設定しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る