目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1336 元

100%
请我们喝杯咖啡

CWE-208 通过时间差异性导致的信息暴露 类漏洞列表 152

CWE-208 通过时间差异性导致的信息暴露 类弱点 152 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-208 属于时序差异漏洞，指产品执行不同操作所需时间存在可观测差异，从而泄露安全相关信息。攻击者通常通过精确测量响应时间的微小波动，间接推断操作是否成功或系统内部状态，进而获取敏感数据。开发者应避免在验证逻辑中使用耗时不同的分支，确保成功与失败路径的执行时间保持一致，并采用恒定时间算法来消除时序侧信道风险。

MITRE CWE 官方描述
CWE：CWE-208 可观测的时间差异 (Observable Timing Discrepancy) 英文：产品中的两个独立操作完成所需的时间不同，且这种差异对攻击者 (actor) 是可观测的，从而泄露了关于产品状态的安全相关信息，例如特定操作是否成功。 在安全相关上下文 (security-relevant contexts) 中，即使是微小的时间变化也可能被攻击者利用，以间接推断出关于产品内部操作的某些细节。例如，在某些加密算法 (cryptographic algorithms) 中，攻击者可以利用时间差异来推断关于私钥 (private key) 的某些属性，从而使密钥更容易被猜测。时间差异 (Timing discrepancies) 实际上构成了一个时序侧信道 (timing side channel)。
常见影响 (1)
Confidentiality, Access Control Read Application Data, Bypass Protection Mechanism
代码示例 (2)
Consider an example hardware module that checks a user-provided password to grant access to a user. The user-provided password is compared against a golden value in a byte-by-byte manner.
always_comb @ (posedge clk) begin assign check_pass[3:0] = 4'b0; for (i = 0; i < 4; i++) begin if (entered_pass[(i*8 - 1) : i] eq golden_pass([i*8 - 1) : i]) assign check_pass[i] = 1; continue; else assign check_pass[i] = 0; break; end assign grant_access = (check_pass == 4'b1111) ? 1'b1: 1'b0; end
Bad · Verilog
always_comb @ (posedge clk) begin assign check_pass[3:0] = 4'b0; for (i = 0; i < 4; i++) begin if (entered_pass[(i*8 - 1) : i] eq golden_pass([i*8 -1) : i]) assign check_pass[i] = 1; continue; else assign check_pass[i] = 0; continue; end assign grant_access = (check_pass == 4'b1111) ? 1'b1: 1'b0; end
Good · Verilog
In this example, the attacker observes how long an authentication takes when the user types in the correct password.
def validate_password(actual_pw, typed_pw): if len(actual_pw) <> len(typed_pw): return 0 for i in len(actual_pw): if actual_pw[i] <> typed_pw[i]: return 0 return 1
Bad · Python
CVE ID 标题 CVSS 风险等级 Published
CVE-2019-9494 WPA 信息泄露漏洞 — hostapd with SAE support 5.9 - 2019-04-17
CVE-2016-10535 csrf-lite 安全漏洞 — csrf-lite node module 5.9 - 2018-05-31

CWE-208（通过时间差异性导致的信息暴露） 是常见的弱点类别，本平台收录该类弱点关联的 152 条 CVE 漏洞。