CVE-2024-47869

Gradio, hızlı prototipleme için tasarlanmış açık kaynaklı bir Python paketidir. Bu güvenlik açığı, Gradio'nun `analytics_dashboard` fonksiyonu için hash karşılaştırmalarını yapma biçimindeki bir **zamanlama saldırısını (timing attack)** içermektedir. Karşılaştırma sabit zamanda yapılmadığından, bir saldırgan farklı isteklerin yanıt sürelerini ölçerek doğru hash değerini bayt bayt çıkarabilir ve bu durumu istismar edebilir. Bu durum, özellikle saldırganın sistemi farklı anahtarlarla tekrar tekrar sorgulayabilmesi halinde, analiz paneline yetkisiz erişime yol açabilir. Kullanıcıların bu sorunu gidermek için `gradio>4.44` sürümüne yükseltmeleri önerilir. Yama uygulanmadan önce riski azaltmak için geliştiriciler, hash'ler gibi hassas değerleri karşılaştırmak amacıyla `analytics_dashboard` panelini manuel olarak bir **sabit zamanlı karşılaştırma (constant-time comparison)** fonksiyonu kullanacak şekilde yamayabilirler. Alternatif olarak, analiz paneline erişim devre dışı bırakılabilir.