CVE-2026-25050 – 認証タイミング攻撃

このリポジトリには、NativeAuthenticationStrategy.authenticate() メソッドに影響を与えるタイミング攻撃を実証する Proof of Concept が含まれています。

この PoC は、ブログ / 研究目的の技術デモンストレーションとして提供されています。

脆弱性

認証ロジックは、ユーザーが存在しない場合は即座に戻り、ユーザーが存在する場合はコストのかかるパスワードハッシュ検証を実行します。

const user = await this.userService.getUserByEmailAddress(ctx, data.username);
if (!user) {
    return false;
}

const passwordMatch = await this.verifyUserPassword(ctx, user.id, data.password);

これにより、既存ユーザーと非既存ユーザーに対する認証試行の間に測定可能なタイミング差が生じます。

• 非既存ユーザー: 即時リターン（約1〜5 ms）
• 既存ユーザー: パスワードハッシュ検証（bcrypt で約200〜400 ms）

複数のリクエストにわたって応答時間を測定することで、攻撃者はユーザー名（メールアドレス）が存在するかどうかを確実に判定できます。

影響

• ユーザー列挙
• アカウント存在の開示
• 標的型ブルートフォース攻撃の容易化
• フィッシングキャンペーンの容易化

Proof of Concept

この PoC は、ユーザー名ごとに複数の認証試行を実行し、平均応答時間を計算してアカウントを以下のように分類します:

• 非既存
• 既存（パスワードベース認証）

使用方法