Fides — это платформа для проектирования конфиденциальности с открытым исходным кодом. До версии 2.44.0 в аутентификации Fides Webserver су…

Fides — это платформа для проектирования конфиденциальности с открытым исходным кодом. До версии 2.44.0 в аутентификации Fides Webserver существует уязвимость перечисления имен пользователей на основе времени. Эта уязвимость позволяет не прошедшему проверку подлинности злоумышленнику определить существование действительных имен пользователей, анализируя время, необходимое серверу для ответа на запросы на вход в систему. Разницу во времени ответа между действительными и недействительными именами пользователей можно использовать для перечисления пользователей в системе. Эта уязвимость позволяет проводить атаку перечисления имен пользователей на основе времени. Злоумышленник может систематически угадывать и проверять, какие имена пользователей являются действительными, измеряя время ответа сервера на запросы аутентификации. Эта информация может использоваться для проведения дальнейших атак на аутентификацию, таких как перебор паролей и перебор учетных данных. Уязвимость была устранена в версии Fides `2.44.0`. Пользователям рекомендуется обновиться до этой версии или более поздней, чтобы защитить свои системы от этой угрозы. Обходных путей нет.