CVE-2024-5124

सारांश

gaizhenbiao/chuanhuchatgpt रिपॉजिटरी में एक टाइमिंग अटैक (timing attack) भेद्यता मौजूद है, विशेष रूप से पासवर्ड तुलना तर्क के भीतर। यह भेद्यता सॉफ्टवेयर के 20240310 संस्करण में मौजूद है, जहाँ पासवर्ड की तुलना Python में '=' ऑपरेटर का उपयोग करके की जाती है। तुलना की यह विधि एक हमलावर को प्रत्येक अक्षर की तुलना के समय (timing) के आधार पर पासवर्ड का अनुमान लगाने की अनुमति देती है। यह समस्या उस कोड खंड से उत्पन्न होती है जो किसी विशेष उपयोगकर्ता नाम के लिए पासवर्ड की जाँच करता है, जिससे अनधिकृत अभिनेता को संवेदनशील जानकारी के उजागर होने की संभावना बनती है। इस भेद्यता का शोषण करने वाला हमलावर संभावित रूप से उपयोगकर्ता पासवर्ड का अनुमान लगा सकता है, जिससे सिस्टम की सुरक्षा से समझौता हो सकता है।

• CVE-2024-5124एक्सप्लॉइट

  CVE-2024-5124 के लिए एक्सप्लॉइट जो TLS टाइमिंग साइड-चैनल अटैक के माध्यम से ChuanhuChatGPT को लक्षित करता है। Gradio वेब एप्लिकेशन से क्रेडेंशियल्स का कैरेक्टर-दर-कैरेक्टर निष्कर्षण करने के लिए tlsfuzzer का उपयोग करता है।