Office 365 Sicherheitsproblem bei Synology Active Backup für Microsoft 365

[Duuuval]

Hallo zusammen,
das wollte ich euch nicht vorenthalten: https://modzero.com/en/blog/when-backups-open-backdoors-synology-active-backup-m365/

 

[goetz]

Hallo,
laut Synology resolved
https://www.synology.com/en-global/security/advisory/Synology_SA_25_06

Gruß Götz

 

[Duuuval]

Klar, aber das Verhalten seitens Synology, gerade gegenüber Businesskunden, ist doch sehr fragwürdig.

 

[maxblank]

Warum?

 

[RichardB]

Welches? Dass sie eine Sicherheitslücke schon vor über einem Monat geschlossen haben?

 

[Duuuval]

Ich habe als Businesskunde keine Information seitens Synology bekommen. Bei uns hängen da über 150 Konten dran. Den Datenschutzbeauftragten informiere ich noch heute. Danach wird geschaut ob etwas auffälliges vorliegt. Bei einem Verstoß müssen wir unsere Kunden informieren. Und dies sind wirklich große Firmen.

 

[Duuuval]

Wichtig ist das. Das sind zwei Monate ohne Info. Privat mag das alles noch verkraftbar sein, aber nicht als Businesskunde, der seinen Kunden gegenüber Rechenschaftspflichtig ist.

Disclosure Timeline​

April 4, 2025	modzero sends responsible disclosure report to Synology and requests CVE through Synology CNA
April 11, 2025	modzero inquires whether report was received
April 14, 2025	Synology confirms reception of the report, points out that submissions are only accepted via their Security Bug Bounty Program
April 14, 2025	modzero inquires about CVE assignment
April 15, 2025	Synology offered to reward modzero for the efforts, reserved CVE-2025-3695 for the vulnerability as a “one time exception”
April 23, 2025	modzero clarifies report was not a submission for the bug bounty program, asks for description and CVSS vector of CVE-2025-3695
April 24, 2025	Synology provides assessed description and CVSS vector
May 5, 2025	modzero proposes adapting CVSS vector
May 7, 2025	Synology declines proposal, provides reasoning
May 16, 2025	Synology publishes vulnerability advisory with CVE-ID CVE-2025-4679
May 16, 2025	modzero requests to update CVSS vector and description, provides justification
May 22, 2025	modzero asks for response to the feedback
May 25, 2025	Synology revises advisory to fix credits, refuses justification regarding vulnerability abstract and impact
June 27, 2025	modzero publishes advisory and blog

[th]

Date​

[/th][th]

Comment​

[/th]​

 

[Kachelkaiser]

Ist doch aber ein gängiges Vorgehen, dass Lücken erst kommuniziert werden, wenn sie geschlossen sind, um Angreifer nicht anzulocken. Nicht nur bei Synology.

Oder informiert dich Goggle oder Apple über deren Sicherheitslücken vorher? Da siehst dann erst in den Release Notes der Patches.

 

[Duuuval]

@kachalkaiser
Da gebe ich dir Recht, aber so eine gravierende Lücke einfach über zwei Monate totzureden und sie in der CVE als „Moderat“ einzustufen, ist absolut nicht hinnehmbar. Von mir aus hätte ich einfach alles gestoppt und auf den Fix gewartet. Es ist ja nicht unser einzigstes Backup. Selbst unser Systemhaus wusste davon nix. Das habe ich damit aufgescheucht, und die schauen sich mal ihre ganzen Kunden an. Das ist echt nicht witzig. Da waren Schlüssel „frei“ zugänglich.

 

[Jagnix]

Bist du denn Businesskunde von Synology ?

 

[Duuuval]

@Kachelkaiser
Frag doch mal bei SAP, BASF, Mercedes Benz etc. nach. Ich kenne da einige Admins, und sie bekommen von MS, Adobe, SAP etc. das relativ schnell mitgeteilt. Wir sind dazu zu klein, und die privaten User bekommen diese Infos zum Schluß.

Das Loch finde ich so groß, das da Tür und Tor geöffnet waren, ohne die User zu informieren.

Aber sei‘s drum. Betrifft ja wahrscheinlich, wenn überhaupt, nur wenige.

Ich wollte auch keine Grundsatzdiskussion anfangen, aber wenn ich hier im Forum sehe was da an Sicherheitsempfehlungen gegeben werden, die ich absolut unterschreiben würde, finde ich das doch ein sehr fragwürdiges Verhalten.

Aber ist jetzt auch gut. Ich wollte ja nur eine Info teilen und kein Fass aufmachen.

Grüße Sven

 

[Duuuval]

@Jagnix
Ja, sonst würde ich es nicht schreiben. Das wurden wir bzgl. Der HD6500 in HA.

Bei den kleinen natürlich nicht. Und genau das ist das, was mich ärgert.

Grüße Sven

 

[maxblank]

Ich glaube kaum, dass Synology hier die Möglichkeit hatte alle Kunden zu informieren und da sind die in meinen Augen nach nicht dazu verpflichtet, weder nach EU-DSGVO noch nach deren AGBs.

 

[Duuuval]

Verpflichtend wird es nicht sein, aber jetzt bleibt die Arbeit die Logs zu untersuchen und gegebenenfalls zu melden, erst mal an uns hängen.