CVE-2024-40640

vodozemac, Olm ve Megolm'un saf Rust ile yapılmış açık kaynaklı bir uygulamasıdır. vodozemac'ın 0.7.0 öncesindeki sürümleri, Megolm grup oturumları için anahtar materyallerini içe aktarmak ve `PkDecryption` Ed25519 gizli anahtarları için sabit zamanlı olmayan bir base64 uygulaması kullanmaktadır. Bu kusur, bir saldırganın yan kanal saldırısı yoluyla gizli anahtar materyali hakkında bazı bilgiler edinmesine izin verebilir. Sabit zamanlı olmayan bir base64 uygulamasının kullanımı, bir saldırganın gizli anahtar materyalinin kodlama ve kod çözme işlemlerindeki zamanlama varyasyonlarını gözlemlemesine olanak tanıyabilir. Bu durum, potansiyel olarak temel gizli anahtar materyaline dair içgörüler sağlayabilir. Saldırganın yüksek hassasiyetli zamanlama ölçümlerine erişiminin yanı sıra base64 kodlama veya kod çözme süreçlerine tekrarlı erişiminin olması gerektiğinden, bu güvenlik açığının etkisi düşük olarak değerlendirilmektedir. Ek olarak, referans verilen makaleye göre tahmini sızıntı miktarı sınırlı ve düşüktür. Bu sorun, sürüm 0.7.0'da yer alan 734b6c6948d4b2bdee3dd8b4efa591d93a61d272 commit'i ile düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.