Múltiples vulnerabilidades en productos Liferay

Fecha de publicación 26/06/2019

Importancia

5 - Crítica

Recursos Afectados

Liferay Portal 7.1 CE GA3 y versiones anteriores sin soporte.

Descripción

Liferay ha publicado múltiples vulnerabilidades, una de severidad crítica y cinco de severidad alta, que podrían permitir acceder a información sensible, inyectar código u obtener privilegios indebidos.

Solución

Actualizar a Liferay Portal 7.1 CE GA4 (7.1.3) o posterior.

Detalle

La vulnerabilidad de severidad crítica se refiere a:

El producto afectado es vulnerable a Server Side Request Forgery (SSRF) a través del proveedor de datos DDM REST, que podría permitir a un atacante acceder a información confidencial.

El resto de ellas, de severidad alta, son:

Los hashes de las contraseñas y las respuestas al recordatorio de la contraseña, pueden aparecer en los registros si se produce un error en la base de datos.
Múltiples vulnerabilidades de XSS, podrían permitir a un atacante remoto inyectar scripts web o HTML arbitrarios en una página.
Vulnerabilidad de salto de directorio en la sección de encuestas.
Algunos permisos pueden estar seleccionados por defecto. Esto puede provocar que algunos usuarios reciban permisos indebidos de manera involuntaria.
La emisión de permisos múltiples podría permitir a los usuarios realizar acciones no autorizadas.