La rivelazione dell'hash è una falla in cui i dati di autenticazione derivati da una password vengono esposti durante uno scambio di accesso. Invece di restituire solo un risultato sì o no, un servizio vulnerabile può divulgare un hash della password o un materiale correlato di challenge-response che avrebbe dovuto rimanere interno. Questo non rivela sempre la password in chiaro, ma offre a un attaccante un obiettivo prezioso per la criptoanalisi offline.
È importante perché gli hash possono spesso essere verificati ad alta velocità senza ulteriori contatti con il sistema della vittima. Se la password è debole, riutilizzata o protetta in modo inadeguato, il materiale divulgato può portare alla compromissione dell'account, soprattutto su interfacce di gestione privilegiate come i sistemi BMC o IPMI. I difensori riducono il rischio limitando l'accesso ai servizi di gestione, segmentando le reti, usando password forti e uniche, disabilitando le funzionalità di accesso remoto non necessarie e aggiornando il firmware o il software che gestisce l'autenticazione.