Falhas do tipo CWE-208

212 resultados

Discrepância de Tempo Observável

É quando um programa leva tempos diferentes para processar entradas válidas versus inválidas, e esse tempo é observável por um atacante. Essa variação permite inferir informações sensíveis (como senhas ou tokens) através de ataques de timing, sem acesso direto aos dados.

Exemplo

Uma função que compara uma senha caractere por caractere, saindo assim que encontra um erro, leva menos tempo para senhas erradas no início do que para senhas quase corretas. Um atacante mede os tempos de resposta da API e descobre a senha testando caracteres até encontrar aquele que aumenta o tempo de processamento.

Como mitigar

Use comparação em tempo constante (funções como `hmac.compare()` em Node.js ou `secrets.compare()` em Python) que sempre levam o mesmo tempo independente da entrada. Adicione jitter (variação aleatória) no tempo de resposta e implemente rate limiting para dificultar medições precisas.

CVE-2026-32702MEDIUMCleanuparr has Username Enumeration via Timing AttackEPSS 0.3%CVE-2026-41161MEDIUMUsername Enumeration via Timing AttackEPSS 0.3%CVE-2026-59276MEDIUMTiming Attack via Non-Constant-Time Comparison of Sensitive ValuesEPSS 0.3%CVE-2026-33129MEDIUMh3 has an observable timing discrepancy in basic auth utilsEPSS 0.3%CVE-2026-87737MEDIUMAn issue was discovered in the mirage-crypto-ec package before 2.4.0 for OCaml. There is a timing side channel for NIST elliptic-curve scalaEPSS 0.3%CVE-2026-28475MEDIUMOpenClaw < 2026.2.13 - Timing Attack via Hook Token ComparisonEPSS 0.3%CVE-2023-25806MEDIUMTime discrepancy in authentication responses in OpenSearchEPSS 0.3%CVE-2021-26313—AMD Speculative Code Store BypassEPSS 0.3%CVE-2021-26318—Side-channels Related to the x86 PREFETCH InstructionEPSS 0.3%CVE-2026-84308MEDIUMphpseclib — non-constant-time X25519 scalar multiplication permits full private-key recoveryEPSS 0.3%CVE-2024-36469LOWUser enumeration via timing attack in Zabbix web interfaceEPSS 0.3%CVE-2025-30344MEDIUMAn issue was discovered in OpenSlides before 4.2.5. During login at the /system/auth/login/ endpoint, the system's response times differ depEPSS 0.3%CVE-2026-9537MEDIUMMojo::JWT versions before 1.02 for Perl verify HMAC signatures with a non-constant-time string comparisonEPSS 0.3%CVE-2026-54411MEDIUMLinux-PAM pam_userdb Observable Timing Discrepancy in Plaintext Password ComparisonEPSS 0.3%CVE-2017-20240MEDIUMCrypt::PBKDF2 versions before 0.261630 for Perl are vulnerable to timing attacksEPSS 0.3%CVE-2026-47380MEDIUMNocoDB: User Enumeration via Sign-In TimingEPSS 0.3%CVE-2026-44368MEDIUMPyQuorum: Timing side‑channel in mul_modEPSS 0.3%CVE-2024-41741MEDIUMIBM TXSeries for Multiplatforms information disclosureEPSS 0.3%CVE-2026-25597MEDIUMPrestaShop has a time based enumeration in FO login formEPSS 0.3%CVE-2024-0202MEDIUMCryptlib: rsa key exchange ciphersuites in tls vulnerable to marvin attackEPSS 0.3%