JVNVU#547167
CollabNet ScrumWorks Basic Server における認証情報取り扱いに関する問題

CollabNet ScrumWorks Basic Server と CollabNet ScrumWorks Desktop Client の間では、認証情報が平文で通信されています。

• CollabNet ScrumWorks Basic

CollabNet ScrumWorks Basic は、CollabNet が提供するプロジェクト管理ツールです。CollabNet ScrumWorks Basic Server と CollabNet ScrumWorks Desktop Client の間では、認証情報が平文で通信されています。

CollabNet ScrumWorks Basic Server は CollabNet ScrumWorks Desktop Client と通信する際、暗号化されていない Java オブジェクトを使用します。この Java オブジェクトには、CollabNet ScrumWorks Basic Server の認証情報が含まれています。

また、CollabNet ScrumWorks Basic Server では、認証情報が平文で内部データベースに格納されています。

製品にアクセス可能または通信を傍受可能な第三者によって、認証情報を閲覧される可能性があります。

CollabNet ScrumWorks Proを使用する
CollabNet によると、CollabNet ScrumWorks Basic に暗号化機能を新たに追加する予定はありません。機密情報を取り扱う際は、CollabNet ScrumWorks Pro の使用が推奨されています。

ワークアラウンドを実施する
CollabNet ScrumWorks へのアクセス制限と通信内容の暗号化により、本問題の影響を軽減することが可能です。