Fallos del tipo CWE-206
1 resultadoDiscrepância comportamental observável interna
A aplicação expõe diferenças de comportamento interno (tempo de resposta, mensagens de erro, padrões de rede) que revelam informações sensíveis sobre seu estado ou lógica. Um atacante observa essas discrepâncias para inferir dados que deveriam estar ocultos, como se um usuário existe, se uma senha está correta ou detalhes da estrutura interna.
Um sistema de autenticação retorna 'Usuário não encontrado' em 50ms e 'Senha incorreta' em 200ms. Um atacante enumera usuários válidos medindo tempos de resposta, ou usa timing attacks para deduzir informações sobre processamento criptográfico executado internamente.
Padronize tempos de resposta (adicione delays aleatórios ou constantes), use mensagens de erro genéricas ('credenciais inválidas'), e implemente rate limiting. Em operações criptográficas, use algoritmos com tempo constante e ferramentas de análise estática para detectar vazamentos de timing.