CVE-2025-53940
Açıklama
Quiet; Slack, Discord ve Element gibi ekip sohbet uygulamalarına alternatif olan ve merkezi bir sunucuya güvenmeyi veya kendi sunucusunu çalıştırmayı gerektirmeyen bir uygulamadır. 6.1.0-alpha.4 ve altı sürümlerde, Quiet'ın arka uç/ön uç iletişimi için kullandığı API, token doğrulaması için güvensiz ve sabit zamanlı olmayan (not constant-time) bir karşılaştırma fonksiyonu kullanıyordu. Bu durum, bir saldırganın farklı token değerlerini deneyerek ve yanıt süresindeki küçük farkları gözlemleyerek (yanlış karakterlerin daha hızlı hata vermesi), tüm token'ı her seferinde bir karakter şeklinde tahmin edebileceği potansiyel bir zamanlama saldırısına (timing attack) izin veriyordu. Bu sorun 6.0.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| TryQuiet quiet | < 6.0.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.