CWE-1254 类漏洞列表 2

CWE：CWE-1254 比较逻辑粒度不正确 英文：产品的比较逻辑是分步骤执行的，而不是一次性对整个字符串进行比较。如果在这些步骤中的某一步发生比较逻辑失败，该操作可能容易受到时序攻击（timing attack），从而导致该过程被恶意拦截。 比较逻辑（comparison logic）用于比较各种对象，包括密码（passwords）、消息认证码（Message Authentication Codes, MACs）以及验证挑战（verification challenges）的响应。当比较逻辑以较细的粒度实现（例如逐字节比较）并在比较失败时中断时，攻击者可以利用此实现来精确识别失败发生的时间点。通过多次尝试，攻击者可能能够猜测出正确的密码/挑战响应，从而提升其权限。