CVE-2024-8980

Liferay Portal/DXP: CSRF w Script Console umożliwia wykonanie kodu Groovy

CVSS 9.6v3.1pub. 2024-10-22upd. 2024-12-10

Script Console w Liferay Portal oraz Liferay DXP nie zapewnia wystarczającej ochrony przed atakami Cross-Site Request Forgery (CSRF), co pozwala zdalnemu atakującemu na wykonanie dowolnego skryptu Groovy. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia po stronie atakującego i może prowadzić do pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

The Script Console in Liferay Portal 7.0.0 through 7.4.3.101, and Liferay DXP 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92, 7.3 GA through update 35, 7.2 GA through fix pack 20, 7.1 GA through fix pack 28, 7.0 GA through fix pack 102 and 6.2 GA through fix pack 173 does not sufficiently protect against Cross-Site Request Forgery (CSRF) attacks, which allows remote attackers to execute arbitrary Groovy script via a crafted URL or a XSS vulnerability.

🤖 Analiza AI

Jak działa

Atakujący może nakłonić zalogowanego użytkownika (np. administratora) do odwiedzenia spreparowanego URL lub strony zawierającej złośliwy kod XSS, który w tle wysyła nieautoryzowane żądanie do Script Console. Ponieważ aplikacja nie weryfikuje poprawnie tokenu CSRF, żądanie zostaje przyjęte i wykonane w kontekście sesji ofiary. W efekcie dowolny skrypt Groovy zostaje uruchomiony po stronie serwera z uprawnieniami zalogowanego użytkownika.

Skutki

Atakujący może wykonać dowolny kod po stronie serwera w środowisku Liferay, co potencjalnie prowadzi do pełnego przejęcia aplikacji, kradzieży danych, modyfikacji treści lub dalszego ruchu lateralnego w infrastrukturze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/CVE-2024-8980. Do czasu wdrożenia patcha należy ograniczyć dostęp do Script Console wyłącznie do zaufanych, uwierzytelnionych administratorów oraz rozważyć blokadę dostępu do tej funkcji na poziomie firewalla lub kontroli dostępu sieciowego.

Kogo dotyczy

Liferay Portal 7.0.0 – 7.4.3.101; Liferay DXP 2023.Q3.1 – 2023.Q3.4, 7.4 GA – update 92, 7.3 GA – update 35, 7.2 GA – fix pack 20, 7.1 GA – fix pack 28, 7.0 GA – fix pack 102, 6.2 GA – fix pack 173

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Liferay Digital Experience Platform
APP
Liferay
7.37.42023.q3.1 – 2023.q3.5 (bez)6.2 – 7.2
Liferay Portal
APP
Liferay
7.3.0 – 7.3.77.4.0 – 7.4.3.102 (bez)7.0.0 – 7.0.6 (bez)7.1.0 – 7.1.3 (bez)7.2.0 – 7.2.1