CVE-2026-25050 – प्रमाणीकरण समय-आधारित आक्रमण (Authentication Timing Attack)

इस रिपॉजिटरी में एक प्रूफ ऑफ कॉन्सेप्ट (PoC) शामिल है जो NativeAuthenticationStrategy.authenticate() विधि को प्रभावित करने वाले टाइमिंग अटैक का प्रदर्शन करता है।

यह PoC ब्लॉग / शोध उद्देश्यों के लिए एक तकनीकी प्रदर्शन के रूप में प्रदान किया गया है।

---

भेद्यता (Vulnerability)

प्रमाणीकरण लॉजिक तुरंत रिटर्न करता है जब उपयोगकर्ता मौजूद नहीं होता है, जबकि उपयोगकर्ता के मौजूद होने पर महंगा पासवर्ड हैश सत्यापन करता है।

const user = await this.userService.getUserByEmailAddress(ctx, data.username);
if (!user) {
    return false;
}

const passwordMatch = await this.verifyUserPassword(ctx, user.id, data.password);

यह मौजूदा और गैर-मौजूद उपयोगकर्ताओं के लिए प्रमाणीकरण प्रयासों के बीच एक मापने योग्य समय अंतर पैदा करता है।

• गैर-मौजूद उपयोगकर्ता: तत्काल रिटर्न (~1–5 ms)
• मौजूदा उपयोगकर्ता: पासवर्ड हैश सत्यापन (~200–400 ms bcrypt के साथ)

कई अनुरोधों पर प्रतिक्रिया समय मापकर, एक हमलावर विश्वसनीय रूप से यह निर्धारित कर सकता है कि कोई उपयोगकर्ता नाम (ईमेल पता) मौजूद है या नहीं।

प्रभाव (Impact)

• उपयोगकर्ता गणना (User enumeration)
• खाता अस्तित्व का खुलासा
• लक्षित ब्रूट-फोर्स हमलों को सुविधाजनक बनाता है
• फ़िशिंग अभियानों को सुविधाजनक बनाता है

प्रूफ ऑफ कॉन्सेप्ट (Proof of Concept)

यह PoC प्रति उपयोगकर्ता नाम कई प्रमाणीकरण प्रयास करता है और खातों को वर्गीकृत करने के लिए औसत प्रतिक्रिया समय की गणना करता है:

• गैर-मौजूद
• मौजूदा (पासवर्ड-आधारित प्रमाणीकरण)

उपयोग (Usage)

python3 exploit.py -u http://target.tld -w users.txt

टूल स्वचालित रूप से कमजोर एंडपॉइंट जोड़ता है:

/admin-api?languageCode=en

उपलब्ध विकल्प (Available Options)

-u, --url              लक्ष्य का आधार URL
-w, --wordlist         उपयोगकर्ता नाम / ईमेल वर्डलिस्ट
--silent               साइलेंट मोड (केवल प्रगति + मान्य उपयोगकर्ता)
--shuffle              परीक्षण से पहले वर्डलिस्ट को शफल करें
--delay MIN:MAX        अनुरोधों के बीच यादृच्छिक देरी (ms)
--resume state.json    पिछला स्कैन फिर से शुरू करें
--json results.json    परिणामों को JSON में निर्यात करें

नोट्स (Notes)

• सर्वर लोड, नेटवर्क विलंबता और इंफ्रास्ट्रक्चर के आधार पर प्रतिक्रिया समय भिन्न हो सकता है।
• प्रति उपयोगकर्ता नाम प्रयासों की संख्या बढ़ाने से सटीकता में सुधार होता है।
• --delay का उपयोग पहचान और रेट-लिमिटिंग से बचने में मदद करता है।
• इस हमले के लिए मान्य क्रेडेंशियल्स की आवश्यकता नहीं होती है।
• यह भेद्यता गैर-स्थिर-समय प्रमाणीकरण लॉग के कारण मौजूद है

अस्वीकरण (Disclaimer)

यह प्रूफ ऑफ कॉन्सेप्ट केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। लेखक दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेता है।