FICHE CVE

CVE-2014-9970

Publiée le 2017-05-21 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de jasypt antérieures à 1.9.2 sont vulnérables à une attaque temporelle lors de la comparaison des hachages de mots de passe. Un attaquant non authentifié disposant d'un accès réseau peut potentiellement découvrir un mot de passe valide en mesurant les infimes différences de temps de réponse du serveur lors du rejet de tentatives incorrectes. Cela ne nécessite aucune interaction de l'utilisateur et est relativement simple à exécuter à distance.

CVSS 3.07.5 ÉLEVÉE

Type de faiblesse

Exposition d'informations · CWE-200

Publiée2017-05-21

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

jasypt before 1.9.2 allows a timing attack against the password hash comparison.