CollabNet ScrumWorks Basicの認証情報処理に問題、認証情報閲覧の可能性（JVN）

脆弱性と脅威セキュリティホール・脆弱性

2011.1.26 Wed 8:00

独立行政法人情報処理推進機構セキュリティセンター（IPA/ISEC）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は1月24日、CollabNetが提供するプロジェクト管理ツール「CollabNet ScrumWorks Basic」に認証情報取り扱いに関する問題が確認されたと「Japan Vulnerability Notes（JVN）」で発表した。

CollabNet ScrumWorks Basicは、サーバとクライアントの間では認証情報が平文で通信されている。この際、暗号化されていないJavaオブジェクトを使用するが、JavaオブジェクトにはCollabNet ScrumWorks Basic Serverの認証情報が含まれている。また、認証情報は内部データベースに平文で格納される。この問題により、製品にアクセス可能または通信を傍受可能な第三者によって、認証情報を閲覧される可能性がある。CollabNetによると、同製品に暗号化機能を追加する予定はなく、Pro版を使用するよう推奨している。
（吉澤亨史）

http://jvn.jp/cert/JVNVU547167/

《ScanNetSecurity》