CVE-2024-5124

ملخص

توجد ثغرة هجوم توقيت (timing attack) في مستودع gaizhenbiao/chuanhuchatgpt، وتحديدًا في منطق مقارنة كلمات المرور. تكون الثغرة موجودة في الإصدار 20240310 من البرنامج، حيث تتم مقارنة كلمات المرور باستخدام عامل '=' في لغة Python. تسمح طريقة المقارنة هذه للمهاجم بتخمين كلمات المرور بناءً على توقيت مقارنة كل حرف. تنشأ المشكلة من مقطع الكود الذي يتحقق من كلمة مرور اسم مستخدم معين، مما قد يؤدي إلى كشف معلومات حساسة لجهة غير مصرح لها. يمكن للمهاجم الذي يستغل هذه الثغرة تخمين كلمات مرور المستخدمين، مما يعرض أمان النظام للخطر.

• CVE-2024-5124استغلال

  استغلال لـ CVE-2024-5124 يستهدف ChuanhuChatGPT عبر هجوم القناة الجانبية لتوقيت TLS. يستخدم tlsfuzzer لإجراء استخراج بيانات الاعتماد حرفًا بحرف من تطبيق ويب Gradio.