著者: Elvin Latifli
CVE ID: CVE-2026-26717
深刻度: 中 (CVSS 3.1: 4.8 — AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)
影響を受ける製品: OpenFUN Richie (コミット a1b5bbd より前のすべてのバージョン)
影響を受けるコンポーネント: src/richie/apps/courses/api.py — sync_course_runs_from_request
修正コミット: a1b5bbda
Richie は、France Université Numérique (OpenFUN) によって開発されたオープンソースの CMS であり、DjangoCMS 上に構築されています。組織が OpenEdX などの学習管理システム (LMS) から同期されたコースカタログを備えた本格的なオンライン教育ポータルを構築できるように設計されています。Richie は、認証された Webhook を介してコースデータの同期を処理します。そのうちの 1 つに、このレポートで説明する脆弱性が含まれていました。
sync_course_runs_from_request Webhook エンドポイントは、標準の == 演算子を使用して、受信した ヘッダーを期待される HMAC 署名と比較していました:
Authorization# 脆弱なコード
signature_is_valid = any(
authorization_header == get_signature(message, secret)
for secret in getattr(settings, "RICHIE_COURSE_RUN_SYNC_SECRETS", [])
)
== 演算子は非定数時間比較を実行します。つまり、最初に不一致の文字が見つかるとすぐに処理を終了します。リモートの攻撃者は、多数の細工されたリクエストを送信して応答時間の差を測定することで、正しい署名を 1 文字ずつ推測し、最終的に有効な認証トークンを偽造して、Webhook の認証を完全にバイパスできます。
攻撃が成功すると、認証されていないリモートの攻撃者は以下を行うことができます:
この修正では、== を Python の hmac.compare_digest() に置き換えます。これは定数時間の文字列比較用に設計されており、タイミングのサイドチャネルを排除します:
# 修正済みコード
signature_is_valid = any(
hmac.compare_digest(authorization_header, get_signature(message, secret))
for secret in getattr(settings, "RICHIE_COURSE_RUN_SYNC_SECRETS", [])
)