トレンドマイクロの「パスワードマネージャー」に情報漏えいにつながる可能性のある脆弱性

トレンドマイクロが提供するパスワードマネージャにおいて、利用時にインストールされる鍵ペアとルートCA証明書の管理が適切に管理されていないという脆弱性（JVNDB-2020-000005）と、特定の条件下でIDとパスワードの情報をメモリ内に平文で保存し続けるという脆弱性（JVNDB-2020-000004）が確認された（INTERNET Watch、発見者によるブログ記事）。

前者の脆弱性は、ローカルの第三者がこの秘密鍵にアクセスしてローカルマシン上で信頼される任意のSSL/TLSサーバー証明書を作成することで、フィッシングなどに悪用される可能性がある。また、後者の脆弱性ではメモリをスキャンすることでIDとパスワードを取得できる可能性がある。

なお、発見者によると前者の脆弱性については報告当初トレンドマイクロは「脆弱性ではない」と主張していたという。

ただより高い物はないと教えられたのだが

[Bill Hates (2038)]

5つまでのIDとパスワードはタダ [trendmicro.com]だけどそれ以上は有料 [trendmicro.com]だとのこと。アカウントとパスワードがセットで某国に送られていてそれがいつか流出しそうで怖いのだが、多分これに金を出す人がいるのですね。