CVE-2024-5124

概要

「gaizhenbiao/chuanhuchatgpt」リポジトリには、パスワード比較ロジックにタイミング攻撃の脆弱性が存在します。この脆弱性はソフトウェアのバージョン20240310に存在し、パスワードがPythonの「=」演算子を使用して比較されます。この比較方法により、攻撃者は各文字の比較タイミングに基づいてパスワードを推測することが可能になります。この問題は、特定のユーザー名のパスワードをチェックするコードセグメントに起因しており、権限のない第三者への機密情報の漏えいにつながる可能性があります。この脆弱性を悪用する攻撃者は、ユーザーのパスワードを推測し、システムのセキュリティを損なう可能性があります。

• CVE-2024-5124エクスプロイト

  CVE-2024-5124 のエクスプロイトで、TLS タイミングサイドチャネル攻撃を介して ChuanhuChatGPT を標的とします。tlsfuzzer を使用して、Gradio Web アプリケーションから 1 文字ずつ認証情報を抽出します。