Timing Attack Vulnerability in curl Digest Authentication via Non-Constant-Time String Comparison
密码学缺陷 / Information Exposure Through Timing Discrepancy / #3346118
该报告还没有中文解读。
原文摘录
摘自原文（2571 字符中的一小部分）
Summary: A timing attack vulnerability exists in curl's Digest Authentication implementation due to the use of non-constant-time string comparison (strcmp()) when comparing authentication algorithms in digest.c line 360. This allows attackers to determine the supported authentication algorithm …
原文中的代码
# Using a simple Python HTTP server with digest auth python3 -m http.server 8080 --digest
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @frizo_05 · 版权归作者与 curl 所有