Slack Morphism 签名校验错误泄露有效 HMAC

Slack Morphism 在 Slack 请求签名校验失败时，会把按攻击者可控时间戳与请求体算出的正确 HMAC 写入错误对象的 generated_hash 字段，并经 Debug/Display 与 Axum 默认错误处理器以 error 级别记入日志。GitHub 安全公告库（GHSA）称，能同时访问应用 Slack 回调端点并读取其应用或服务日志的攻击者，可借此把校验器当作选定消息的 HMAC 预言机。 公告将影响范围标为 2.26.0 及以上版本，并称最稳妥的修复是从 SlackEventWrongSignatureError 中彻底移除 generated_hash。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。