CVE-2026-23996

FastAPI Api Key, bir API anahtarı sistemi sağlayan arka uçtan bağımsız bir kütüphane sunar. Sürüm 1.1.0'da verify_key() fonksiyonunda bir zamanlama yan kanal zafiyeti bulunmaktadır. Metot, rastgele gecikmeyi yalnızca doğrulama hatalarında uyguladığından, bir saldırganın yanıt gecikmelerini ölçerek geçerli ve geçersiz API anahtarlarını istatistiksel olarak ayırt etmesine olanak tanır. Yeterli sayıda tekrarlanan istek ile bir saldırgan, bir key_id'nin geçerli bir anahtara karşılık gelip gelmediğini çıkarabilir ve bu durum potansiyel olarak kaba kuvvet veya numaralandırma saldırılarını hızlandırabilir. Düzeltmeden önce API anahtarı kimlik doğrulaması için verify_key() fonksiyonuna güvenen tüm kullanıcılar etkilenmektedir. Kullanıcıların yamayı almak için sürüm 1.1.0'a yükseltmeleri gerekir. Yama, sonuca bakılmaksızın tüm yanıtlara tek tip bir rastgele gecikme (min_delay ile max_delay arasında) uygulayarak zamanlama korelasyonunu ortadan kaldırır. Bazı geçici çözümler mevcuttur. Düzeltme uygulanmadan önce tüm kimlik doğrulama yanıtlarına (başarılı ve başarısız) uygulama düzeyinde sabit bir gecikme veya rastgele titreme ekleyin ve/veya istatistiksel zamanlama saldırılarının uygulanabilirliğini azaltmak için hız sınırlama kullanın.