🇰🇷 한글 설명
Liferay Portal Community Edition의 XSL Content 포틀릿에서 Apache Tomcat 또는 Oracle GlassFish 사용 시 발생하는 취약점으로, 인증된 원격 사용자가 file:/// URL을 통해 임의의 XSL 및 XML 파일을 서버에서 직접 읽을 수 있습니다. 이로 인해 설정 파일, 데이터베이스 연결 정보, 개인정보 등 민감한 파일이 노출될 위험이 있습니다.
💡 쉬운 설명
Liferay 웹 포털에 로그인한 사용자가 파일 경로를 입력하여 서버의 파일들을 읽어낼 수 있는 문제입니다. 이를 통해 설정 파일이나 민감한 정보가 무단으로 노출될 수 있습니다.
🇺🇸 원문 (English)
The XSL Content portlet in Liferay Portal Community Edition (CE) 5.x and 6.x before 6.0.6 GA, when Apache Tomcat or Oracle GlassFish is used, allows remote authenticated users to read arbitrary (1) XSL and (2) XML files via a file:/// URL.
📍 영향받는 시스템
Liferay Portal Community Edition 5.x, 6.x (6.0.6 GA 이전)
⚔️ 공격 벡터
인증된 사용자가 XSL Content 포틀릿의 file:/// URL 파라미터를 통해 임의 파일 접근 시도
🛡️ 대응 방법
Liferay Portal을 6.0.6 GA 이상으로 즉시 업그레이드
🔧 검증 코드
버전 번호가 6.0.6 이상이면 안전하고, 6.0.6 미만이면 업그레이드 필요합니다.
grep -i 'release.version' /opt/liferay/release.properties 2>/dev/null | head -1