CVE-2025-49506

APR-util: atak timing side-channel w funkcji apr_password_validate()

CVSS 7.5v3.1pub. 2026-08-06upd. 2026-08-07

Funkcja apr_password_validate() w APR-util 1.6.3 i wcześniejszych nie wykonywała porównania haseł i skrótów w stałym czasie, co umożliwia atak czasowy (timing attack). Podatność jest szczególnie dotkliwa na platformach pozbawionych funkcji crypt(), takich jak Windows, BeOS, NetWare i Android.

▸ Pokaż oryginał (EN)

APR-util versions 1.6.3 (and earlier) function apr_password_validate() was not constant-time with regards to hashes or passwords comparisons, potentially leaking their content via a side channel timing attack particularly on platforms without crypt() such as Windows, BeOS, NetWare, or Android. Users are recommended to upgrade to version 1.6.4, which fixes this issue.

🤖 Analiza AI

Jak działa

Podatność polega na tym, że porównanie haseł lub skrótów kryptograficznych w funkcji apr_password_validate() nie jest realizowane w stałym czasie (non-constant-time). Atakujący może mierzyć różnice w czasie odpowiedzi serwera przy kolejnych próbach uwierzytelnienia, aby metodą statystyczną odtworzyć zawartość hasła lub skrótu. Na platformach bez natywnej funkcji crypt() (Windows, BeOS, NetWare, Android) wyciek informacji przez kanał boczny jest szczególnie wyraźny.

Skutki

Atakujący zdalny, bez żadnego uwierzytelnienia, może odtworzyć chronione hasło lub skrót kryptograficzny, co prowadzi do nieautoryzowanego ujawnienia poufnych danych uwierzytelniających.