CreditNirvanaに認証不備の脆弱性、管理者になりすまし
債権回収向けのCreditNirvana Collections Platform（CollectionWorkz）のログイン処理に脆弱性が見つかりました。ログインしていない外部の第三者が、管理者を含む任意の利用者になりすませます。利用中の組織は、ベンダーとCERT-Inの告知で影響範囲と修正版を確認し、あわせてログイン画面の公開範囲を絞ってください。
急ぎ度: 早めに
CVSS v4が9.3で、認証なしにネットワーク越しで管理者になりすませるため、利用中の組織は告知の確認と公開範囲の絞り込みを急ぐ段階です。
関係があるか
CreditNirvana Collections Platform（CollectionWorkz）を自社で運用している組織が対象です。回収業務を委託先に任せ、その委託先がこの製品を使っている場合も、自社の顧客データが関わる以上は無関係とは言えません。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| CreditNirvana Collections Platform（CollectionWorkz） | ログインサービスが対象です。版ごとの範囲は、ベンダーとCERT-Inの告知で確認してください | 修正版の版番号は、ベンダーの案内で確認してください |
確かめ方
- 1社内の資産台帳や契約一覧で、CreditNirvanaまたはCollectionWorkzを使っているかを調べます。
- 2回収業務の委託先や関連会社が同じ製品を使っていないか、担当部門を通じて問い合わせます。
- 3ログイン画面やAPIがインターネットから直接到達できる状態か、ネットワーク担当者と確認します。
- 4利用している版と提供形態（自社運用かベンダー運用か）を整理し、ベンダーに修正版の有無を問い合わせます。
何が起きたか
CreditNirvana Collections Platform（CollectionWorkz）のログインサービスで、認証と認可の制御が不十分でした。そのため、有効なセッションを持たない外部の第三者が、管理者を含む任意の利用者としてログイン状態を作り、その権限でAPIを使えてしまいます。
原因は、認証リクエストの扱いに不備があることです。CWEの分類はCWE-1390（弱い認証）で、CVSS v4のベクターはVC:HとVI:Hです。機密性と完全性への影響が大きく、可用性への影響は付いていません。
CERT-Inの告知（CIVN-2026-0523）をもとに、2026年10月26日にCVEが公開されました。
攻撃の流れ
-
1
ログイン処理へ到達
外部の第三者が、インターネットなどから製品のログインサービスにつながります。
-
2
認証要求を細工
認証と認可の制御が不十分なため、有効なセッションがないままAPIを使えてしまいます。
-
3
利用者を把握
プラットフォームに登録された利用者を、一覧として洗い出せます。
-
4
管理者としてログイン
管理者を含む任意の利用者として、セッションを確立します。
-
5
情報の閲覧と改ざん
なりすました利用者の権限で、機密情報を読み、書き換えます。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しに到達できれば足り、利用者に何かを操作させる必要もありません。攻撃の複雑さは低いと評価されています。
悪用されると、登録された利用者の洗い出し、管理者を含む任意の利用者としてのセッション確立、なりすました利用者の権限による機密情報の閲覧と改ざんが起こります。管理者になりすまされた場合は、閲覧できる範囲も書き換えられる範囲も、正規の管理者と変わりません。
今すぐやること
-
1
ベンダーに修正版を確認する
CreditNirvanaの窓口に、影響する版と修正版、適用方法を問い合わせます。CERT-Inの告知（CIVN-2026-0523）も、あわせて確認してください。ベンダーが運用している環境なら、対応状況の報告を求めます。
-
2
ログイン画面とAPIの公開範囲を絞る
インターネットに直接公開しているなら、社内ネットワークやVPN経由に限定するか、接続元のIPアドレスを制限します。修正版を当てるまでの時間をかせぐ対応です。
-
3
利用者とログの履歴を点検する
身に覚えのないログイン、管理者アカウントの利用、通常と違う時間帯や接続元からのAPI呼び出しがないかを調べます。登録データに不審な変更がないかも見ておきます。
-
4
修正版を適用し、セッションを見直す
修正版が出たら、検証環境で動作を確認したうえで本番に適用します。不審な形跡があった場合は、既存のセッションを無効化し、管理者アカウントの認証情報を入れ替えます。
すぐ更新できないとき
修正版をすぐに当てられないときは、ログインサービスとAPIへの接続元を、社内ネットワークや許可したIPアドレスに限定します。WAFなどで外部からの不審な認証リクエストを制限する方法もありますが、この脆弱性を防げるかは未確認です。ベンダーが案内する回避策があれば、そちらを優先してください。
背景
CreditNirvana Collections Platformは、製品名から債権回収業務を支えるプラットフォームと読み取れます。支払いの状況や連絡先など、取引相手に関わる情報を集めて扱うものと考えられます。ログイン処理に不備があると、その入口を通った相手は正規の担当者と同じ画面と権限を手にします。管理者になりすまされると、個々のデータの閲覧にとどまらず、記録の書き換えにまで及びます。
今回の脆弱性の特徴は、利用者の洗い出しと、任意の利用者としてのセッション確立の両方が、認証なしで可能とされる点です。パスワードの強さや多要素認証の有無に関係なく、ログインを迂回されるおそれがあります。筆者は、パスワードを堅くしてあっても防げない種類の脆弱性だと受け止めています。
よくある質問
Q.委託先が使っている場合、自社は何をすればよいですか。
Q.多要素認証を入れていれば防げますか。
まだ分かっていないこと
- 影響する版の範囲と、修正版の有無や版番号は公表されていません。ベンダーの案内とCERT-Inの告知で確認してください。
- 実際の攻撃で悪用されたかどうかは分かっていません。
- 自社運用型とベンダー運用型のどちらが対象か、攻撃に必要な具体的な条件は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| CreditNirvana | CreditNirvana Collections Platform (CollectionWorkz) | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
This vulnerability exists in the CreditNirvana Collections Platform due to improper authentication and authorization controls at the platform login service. An unauthenticated remote attacker could exploit this vulnerability by manipulating authentication requests and accessing APIs without a valid authenticated session on the targeted system.
Successful exploitation of this vulnerability could allow the attacker to enumerate platform users, establish sessions as arbitrary users including administrative users, access and modify sensitive information with the privileges of the impersonated user.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vdisclose@cert-in.org.in
- web nvd.nist.gov
- web github.com