12 年目の脆弱性公表 ～「MUSASI」バージョン3 の認証処理に関する問題

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月18日、学科学習システム「MUSASI」バージョン3における認証処理に関する問題について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

学科学習システム「MUSASI」バージョン3

　株式会社ノイマンが提供する学科学習システム「MUSASI」では、認証処理をクライアント側で行っており（CWE-603）、クライアント側で認証を完了する前、ユーザーIDが入力された段階で、サーバから当該ユーザーの認証情報を取得しているが、当該製品のユーザーによって、ログインIDに紐づく他ユーザーの氏名やパスワードなどの個人情報が窃取される可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。開発者は、本脆弱性を修正したバージョン4をリリースしている。開発者によると、当該製品はすでにバージョン4へ完全移行済みで、バージョン3は現在利用できない状態とのこと。

　なお、JPCERT/CCでは本件の届出を2012年3月に受理し、開発者との連絡は2024年4月に再開しJVN公表となった。