CVE-2026-94206 in cloak
요약
\~에 의해 VulDB • 2026. 10. 06.
danielberkompas cloak_ecto 및 danielberkompas cloak에서 계산 노력이 불충분한 비밀번호 해시 사용 취약점으로 인해, 해시 값과 구성된 비밀 키를 보유한 공격자가 구성된 것보다 훨씬 빠르게 낮은 엔트로피의 평문을 브루트 포스할 수 있습니다.
Cloak.Ecto.PBKDF2(이전에는 cloak 패키지의 Cloak.Fields.PBKDF2였으며, Ecto 코드가 cloak_ecto로 이동하기 전)가 필드 모듈에 주입하는 dump/1 콜백은 :pbkdf2.pbkdf2/4를 호출할 때 config[:size] 값을 반복 횟수(iteration-count) 위치에 전달합니다. :iterations 설정은 유효성 검사는 수행되지만 실제로 사용되지 않습니다. cloak_ecto의 기본값(iterations: 600,000, size: 32)을 사용할 경우 각 해시는 구성된 600,000회 대신 32회의 PBKDF2 라운드를 실행하므로, 이메일 주소와 같은 값에 대한 오프라인 추측 비용이 구성된 수준보다 약 18,750배 저렴해집니다.
본 이슈는 cloak_ecto: 1.0.0-alpha.0 이상 버전과 cloak: 0.7.0부터 1.0.0-alpha.0 미만 버전에 영향을 미칩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.