Falhas do tipo CWE-208

212 resultados

Discrepância de Tempo Observável

É quando um programa leva tempos diferentes para processar entradas válidas versus inválidas, e esse tempo é observável por um atacante. Essa variação permite inferir informações sensíveis (como senhas ou tokens) através de ataques de timing, sem acesso direto aos dados.

Exemplo

Uma função que compara uma senha caractere por caractere, saindo assim que encontra um erro, leva menos tempo para senhas erradas no início do que para senhas quase corretas. Um atacante mede os tempos de resposta da API e descobre a senha testando caracteres até encontrar aquele que aumenta o tempo de processamento.

Como mitigar

Use comparação em tempo constante (funções como `hmac.compare()` em Node.js ou `secrets.compare()` em Python) que sempre levam o mesmo tempo independente da entrada. Adicione jitter (variação aleatória) no tempo de resposta e implemente rate limiting para dificultar medições precisas.

CVE-2026-44061MEDIUMDES-ECB auth with timing side channelEPSS 0.4%CVE-2025-49506HIGHApache Portable Runtime Utility: apr_password_validate() vulnerable to timing attackEPSS 0.4%CVE-2024-13939HIGHString::Compare::ConstantTime for Perl through 0.321 is vulnerable to timing attacks that allow an attacker to guess the length of a secret stringEPSS 0.4%CVE-2026-41263MEDIUMTraefik: BasicAuth middleware: timing side-channel vulnerabilityEPSS 0.4%CVE-2026-21713MEDIUMA flaw in Node.js HMAC verification uses a non-constant-time comparison when validating user-provided signatures, potentially leaking timingEPSS 0.4%CVE-2026-33877LOWApostropheCMS: User Enumeration via Timing Side Channel in Password Reset EndpointEPSS 0.4%CVE-2026-41588CRITICALRELATE: Timing Attack Vulnerability in course/auth.py — check_sign_in_key()EPSS 0.4%CVE-2026-40194LOWphpseclib has a variable-time HMAC comparison in SSH2::get_binary_packet() using != instead of hash_equals()EPSS 0.4%CVE-2025-0693MEDIUMIssue with AWS Sign-in IAM User Login Flow - Possible Username EnumerationEPSS 0.4%CVE-2026-15041LOW389-ds-base: 389-ds-base: non-constant-time comparison in pbkdf2-sha256 password verificationEPSS 0.4%CVE-2020-4071LOWTiming attack on django-basic-auth-ip-whitelistEPSS 0.4%CVE-2026-48859MEDIUMSSH server timing side-channel in ssh_auth:check_password/3 allows unauthenticated username enumerationEPSS 0.4%CVE-2026-43514LOWApache Tomcat: AJP secret compared in non-constant timeEPSS 0.4%CVE-2026-109379MEDIUMCockpit CMS 2.14.1 Account Enumeration via Timing Discrepancy in /auth/checkEPSS 0.3%CVE-2025-27936MEDIUMWebhook Secret Exposure via Timing attack in MSteams pluginEPSS 0.3%CVE-2026-103021MEDIUMOpenEMR: Username Enumeration via Pre-Authentication User Settings LoadingEPSS 0.3%CVE-2026-48166MEDIUMFilament: Timing-based user enumeration on login pageEPSS 0.3%CVE-2023-32694MEDIUMNon-constant time HMAC comparison in Adyen plugin in SaleorEPSS 0.3%CVE-2025-59350LOWTiming attacks against Proxy’s basic authentication are possibleEPSS 0.3%CVE-2026-54685MEDIUMFileBrowser Quantum has Username Enumeration via Authentication Timing Side-ChannelEPSS 0.3%