Falhas do tipo CWE-208

189 resultados

Discrepância de Tempo Observável

É quando um programa leva tempos diferentes para processar entradas válidas versus inválidas, e esse tempo é observável por um atacante. Essa variação permite inferir informações sensíveis (como senhas ou tokens) através de ataques de timing, sem acesso direto aos dados.

Exemplo

Uma função que compara uma senha caractere por caractere, saindo assim que encontra um erro, leva menos tempo para senhas erradas no início do que para senhas quase corretas. Um atacante mede os tempos de resposta da API e descobre a senha testando caracteres até encontrar aquele que aumenta o tempo de processamento.

Como mitigar

Use comparação em tempo constante (funções como `hmac.compare()` em Node.js ou `secrets.compare()` em Python) que sempre levam o mesmo tempo independente da entrada. Adicione jitter (variação aleatória) no tempo de resposta e implemente rate limiting para dificultar medições precisas.

CVE-2024-54772MEDIUMAn issue was discovered in the Winbox service of MikroTik RouterOS long-term release v6.43.13 through v6.49.13 and stable v6.43 through v7.1EPSS 0.8%CVE-2023-40021MEDIUMTiming Attack Reveals CSRF Tokens in oppiaEPSS 0.8%CVE-2023-24035LOWAn issue was discovered in Nagios XI before 5.9.3. The is_insecure_login_authenticated function uses a insecure timing comparison that leadsEPSS 0.8%CVE-2025-13473MEDIUMUsername enumeration through timing difference in mod_wsgi authentication handlerEPSS 0.7%CVE-2014-125055LOWagnivade easy-scrypt scrypt.go VerifyPassphrase timing discrepancyEPSS 0.7%CVE-2022-39308MEDIUMGoCD API authentication of user access tokens subject to timing attack during comparisonEPSS 0.7%CVE-2025-59432MEDIUMTiming Attack Vulnerability in SCRAM AuthenticationEPSS 0.7%CVE-2014-125056LOWPylons horus services.py timing discrepancyEPSS 0.7%CVE-2021-4294LOWOpenShift OSIN CheckClientSecret timing discrepancyEPSS 0.7%CVE-2013-10006LOWZiftr primecoin bitcoinrpc.cpp HTTPAuthorized timing discrepancyEPSS 0.7%CVE-2023-1538MEDIUMObservable Timing Discrepancy in answerdev/answerEPSS 0.6%CVE-2016-15015LOWviafintech Barzahlen Payment Module PHP SDK Webhook.php verify timing discrepancyEPSS 0.6%CVE-2022-4823LOWInSTEDD Nuntium geopoll_controller.rb timing discrepancyEPSS 0.6%CVE-2021-42016HIGHA vulnerability has been identified in RUGGEDCOM i800, RUGGEDCOM i801, RUGGEDCOM i802, RUGGEDCOM i803, RUGGEDCOM M2100, RUGGEDCOM M2100F, RUEPSS 0.6%CVE-2023-25529HIGHNVIDIA DGX H100 BMC and DGX A100 BMC contains a vulnerability in the host KVM daemon, where an unauthenticated attacker may cause a leak of EPSS 0.6%CVE-2024-42368MEDIUMopen-telemetry has an Observable Timing DiscrepancyEPSS 0.6%CVE-2021-26314—AMD Speculative execution with Floating-Point Value InjectionEPSS 0.6%CVE-2024-42512HIGHVulnerability in the OPC UA .NET Standard Stack before 1.5.374.158 allows an unauthorized attacker to bypass application authentication whenEPSS 0.6%CVE-2026-23519HIGHRustCrypto cmov: thumbv6m-none-eabi compiler emits non-constant time assembly when using cmovnzEPSS 0.6%CVE-2026-33006MEDIUMApache HTTP Server: mod_auth_digest timing attackEPSS 0.6%