CollabNetのプロジェクト管理ツールに認証情報の問題--閲覧される可能性

 情報処理推進機構セキュリティセンター(IPA/ISEC)とJPCERTコーディネーションセンター(JPCERT/CC)は1月24日、CollabNetが提供するプロジェクト管理ツール「CollabNet ScrumWorks Basic」に認証情報取り扱いに関する問題が確認されたと「Japan Vulnerability Notes(JVN)」で発表した。

 CollabNet ScrumWorks Basicは、サーバとクライアントの間では認証情報が平文で通信されている。この際、暗号化されていないJavaオブジェクトを使用するが、Javaオブジェクトにはサーバの認証情報が含まれている。また、認証情報は内部データベースに平文で格納される。

 この問題により、製品にアクセス可能または通信を傍受可能な第三者によって、認証情報を閲覧される可能性がある。CollabNetによると、同製品に暗号化機能を追加する予定はなく、「CollabNet ScrumWorks Pro」を使用するよう推奨している。CollabNet ScrumWorksへのアクセス制限と通信内容を暗号化することで、問題の影響を軽減できるとしている。

CNET Japanの記事を毎朝メールでまとめ読み(無料)

-PR-企画広告

企画広告一覧

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]