Összefoglaló
A Liferay Portal olyan sérülékenységét jelentették, amelyet a rosszindulatú felhasználók kihasználva bizalmas adatokat tehetnek közzé.
Leírás
A sérülékenységet az alkalmazás által a JSON szolgáltatásnak átadott bizonyos információk okozzák. Ezt kihasználva például közzé tehető a rendszergazda jelszavának lenyomata (hash) a “getRoleUsers” metódus segítségével.
A sérülékenység sikeres kihasználásához szükséges a JSON szolgáltatás engedélyezése. (alapértelmezett módon nincs engedélyezve a 4.3.2 és az újabb verziókban).
A sérülékenységet a 4.x és 5.x verziókban jelentették. Más verziók is érintettek lehetnek.
Megoldás
Csak megbízható felhasználóknak engedélyezze a hozzáférést a JSON szolgáltatáshoz.
Hivatkozások
SECUNIA 40976
Gyártói referencia: www.mindedsecurity.com