JVNDB-2026-005401

AthroniaethのFastAPI Api Keyにおけるタイミングの違いに起因する情報漏えいに関する脆弱性

FastAPI Api Keyはバックエンドに依存しないAPIキーシステムを提供するライブラリです。バージョン1.1.0にはverify_key()にタイミングサイドチャネルの脆弱性があります。このメソッドは検証失敗時のみランダムな遅延を適用しており、攻撃者は応答遅延の測定によって有効なAPIキーと無効なAPIキーを統計的に区別できました。十分な回数の繰り返しリクエストにより、攻撃者はkey_idが有効なキーに対応しているかどうかを推測でき、ブルートフォース攻撃や列挙攻撃を加速させる可能性があります。修正前にverify_key()によるAPIキー認証を利用している全ユーザーが影響を受けます。ユーザーには修正を受けるためにバージョン1.1.0へのアップグレードを推奨します。修正では、結果に関わらず全ての応答に均一なランダム遅延（min_delayからmax_delay）を適用してタイミングの相関を排除します。いくつかの回避策も利用可能です。修正が適用される前には成功・失敗の全ての認証応答に対してアプリケーションレベルで固定遅延またはランダムジッターを追加するか、統計的タイミング攻撃の実行可能性を低減するためにレート制限を使用してください。

Athroniaeth

• FastAPI Api Key 1.1.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Timing side-channel in verify_key allows statistical key validity detection  Advisory  Athroniaeth/fastapi-api-key  GitHub

1. タイミングの違いに起因する情報漏えい(CWE-208) [その他]

1. CVE-2026-23996

1. National Vulnerability Database (NVD) : CVE-2026-23996
2. 関連文書 : Release 1.1.0  Athroniaeth/fastapi-api-key  GitHub
3. 関連文書 : feat(security): apply uniform verify delay for all outcomes  Athroniaeth/fastapi-api-key@310b2c5  GitHub

• [2026年03月02日]
    掲載