Vulnerability Details CVE-2023-40021
Oppia is an online learning platform. When comparing a received CSRF token against the expected token, Oppia uses the string equality operator (`==`), which is not safe against timing attacks. By repeatedly submitting invalid tokens, an attacker can brute-force the expected CSRF token character by character. Once they have recovered the token, they can then submit a forged request on behalf of a logged-in user and execute privileged actions on that user's behalf. In particular the function to validate received CSRF tokens is at `oppia.core.controllers.base.CsrfTokenManager.is_csrf_token_valid`. An attacker who can lure a logged-in Oppia user to a malicious website can perform any change on Oppia that the user is authorized to do, including changing profile information; creating, deleting, and changing explorations; etc. Note that the attacker cannot change a user's login credentials. An attack would need to complete within 1 second because every second, the time used in computing the token changes. This issue has been addressed in commit `b89bf80837` which has been included in release `3.3.2-hotfix-2`. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.002
EPSS Ranking 39.1%
CVSS Severity
CVSS v3 Score 5.3
References
- https://github.com/oppia/oppia/blob/3a05c3558a292f3db9e658e60e708c266c003fd0/core/controllers/base.py#L964-L990
- https://github.com/oppia/oppia/commit/b89bf808378c1236874b5797a7bda32c77b4af23
- https://github.com/oppia/oppia/pull/18769
- https://github.com/oppia/oppia/security/advisories/GHSA-49jp-pjc3-2532
- https://github.com/oppia/oppia/blob/3a05c3558a292f3db9e658e60e708c266c003fd0/core/controllers/base.py#L964-L990
- https://github.com/oppia/oppia/commit/b89bf808378c1236874b5797a7bda32c77b4af23
- https://github.com/oppia/oppia/pull/18769
- https://github.com/oppia/oppia/security/advisories/GHSA-49jp-pjc3-2532
Products affected by CVE-2023-40021
-
cpe:2.3:a:oppia:oppia:1.1.0
-
cpe:2.3:a:oppia:oppia:1.1.1
-
cpe:2.3:a:oppia:oppia:1.1.2
-
cpe:2.3:a:oppia:oppia:1.2.0
-
cpe:2.3:a:oppia:oppia:1.2.1
-
cpe:2.3:a:oppia:oppia:1.2.10
-
cpe:2.3:a:oppia:oppia:1.2.11
-
cpe:2.3:a:oppia:oppia:1.2.12
-
cpe:2.3:a:oppia:oppia:1.2.2
-
cpe:2.3:a:oppia:oppia:1.2.3
-
cpe:2.3:a:oppia:oppia:1.2.4
-
cpe:2.3:a:oppia:oppia:1.2.5
-
cpe:2.3:a:oppia:oppia:1.2.6
-
cpe:2.3:a:oppia:oppia:1.2.7
-
cpe:2.3:a:oppia:oppia:1.2.8
-
cpe:2.3:a:oppia:oppia:1.2.9
-
cpe:2.3:a:oppia:oppia:2.0.0
-
cpe:2.3:a:oppia:oppia:2.0.1
-
cpe:2.3:a:oppia:oppia:2.0.2
-
cpe:2.3:a:oppia:oppia:2.0.3
-
cpe:2.3:a:oppia:oppia:2.1.0
-
cpe:2.3:a:oppia:oppia:2.1.1
-
cpe:2.3:a:oppia:oppia:2.1.2
-
cpe:2.3:a:oppia:oppia:2.1.3
-
cpe:2.3:a:oppia:oppia:2.1.4
-
cpe:2.3:a:oppia:oppia:2.1.5
-
cpe:2.3:a:oppia:oppia:2.2.0
-
cpe:2.3:a:oppia:oppia:2.3.0
-
cpe:2.3:a:oppia:oppia:2.3.1
-
cpe:2.3:a:oppia:oppia:2.3.2
-
cpe:2.3:a:oppia:oppia:2.3.3
-
cpe:2.3:a:oppia:oppia:2.3.4
-
cpe:2.3:a:oppia:oppia:2.3.5
-
cpe:2.3:a:oppia:oppia:2.3.6
-
cpe:2.3:a:oppia:oppia:2.3.7
-
cpe:2.3:a:oppia:oppia:2.3.8
-
cpe:2.3:a:oppia:oppia:2.3.9
-
cpe:2.3:a:oppia:oppia:2.4.0
-
cpe:2.3:a:oppia:oppia:2.4.1
-
cpe:2.3:a:oppia:oppia:2.4.2
-
cpe:2.3:a:oppia:oppia:2.5.0
-
cpe:2.3:a:oppia:oppia:2.5.1
-
cpe:2.3:a:oppia:oppia:2.5.2
-
cpe:2.3:a:oppia:oppia:2.5.3
-
cpe:2.3:a:oppia:oppia:2.5.4
-
cpe:2.3:a:oppia:oppia:2.5.5
-
cpe:2.3:a:oppia:oppia:2.5.6
-
cpe:2.3:a:oppia:oppia:2.5.7
-
cpe:2.3:a:oppia:oppia:2.6.0
-
cpe:2.3:a:oppia:oppia:2.6.1
-
cpe:2.3:a:oppia:oppia:2.6.2
-
cpe:2.3:a:oppia:oppia:2.6.3
-
cpe:2.3:a:oppia:oppia:2.6.4
-
cpe:2.3:a:oppia:oppia:2.6.5
-
cpe:2.3:a:oppia:oppia:2.6.6
-
cpe:2.3:a:oppia:oppia:2.6.7
-
cpe:2.3:a:oppia:oppia:2.6.8
-
cpe:2.3:a:oppia:oppia:2.6.9
-
cpe:2.3:a:oppia:oppia:2.7.0
-
cpe:2.3:a:oppia:oppia:2.7.1
-
cpe:2.3:a:oppia:oppia:2.7.2
-
cpe:2.3:a:oppia:oppia:2.7.3
-
cpe:2.3:a:oppia:oppia:2.8.0
-
cpe:2.3:a:oppia:oppia:2.8.1
-
cpe:2.3:a:oppia:oppia:2.8.2
-
cpe:2.3:a:oppia:oppia:2.8.3
-
cpe:2.3:a:oppia:oppia:2.8.4
-
cpe:2.3:a:oppia:oppia:2.8.5
-
cpe:2.3:a:oppia:oppia:2.8.6
-
cpe:2.3:a:oppia:oppia:2.8.7
-
cpe:2.3:a:oppia:oppia:2.8.8
-
cpe:2.3:a:oppia:oppia:2.8.9
-
cpe:2.3:a:oppia:oppia:2.9.0
-
cpe:2.3:a:oppia:oppia:2.9.1
-
cpe:2.3:a:oppia:oppia:2.9.2
-
cpe:2.3:a:oppia:oppia:2.9.3
-
cpe:2.3:a:oppia:oppia:3.0.0
-
cpe:2.3:a:oppia:oppia:3.0.1
-
cpe:2.3:a:oppia:oppia:3.0.2
-
cpe:2.3:a:oppia:oppia:3.0.4
-
cpe:2.3:a:oppia:oppia:3.0.5
-
cpe:2.3:a:oppia:oppia:3.0.6
-
cpe:2.3:a:oppia:oppia:3.0.7
-
cpe:2.3:a:oppia:oppia:3.0.8
-
cpe:2.3:a:oppia:oppia:3.0.9
-
cpe:2.3:a:oppia:oppia:3.1.0
-
cpe:2.3:a:oppia:oppia:3.1.1
-
cpe:2.3:a:oppia:oppia:3.1.2
-
cpe:2.3:a:oppia:oppia:3.1.3
-
cpe:2.3:a:oppia:oppia:3.1.4
-
cpe:2.3:a:oppia:oppia:3.2.0
-
cpe:2.3:a:oppia:oppia:3.2.1
-
cpe:2.3:a:oppia:oppia:3.2.2
-
cpe:2.3:a:oppia:oppia:3.2.3
-
cpe:2.3:a:oppia:oppia:3.2.4
-
cpe:2.3:a:oppia:oppia:3.2.5
-
cpe:2.3:a:oppia:oppia:3.2.6
-
cpe:2.3:a:oppia:oppia:3.2.7
-
cpe:2.3:a:oppia:oppia:3.2.8
-
cpe:2.3:a:oppia:oppia:3.2.9
-
cpe:2.3:a:oppia:oppia:3.3.0
-
cpe:2.3:a:oppia:oppia:3.3.1
-
cpe:2.3:a:oppia:oppia:3.3.2