🇰🇷 한글 설명
Liferay Portal Community Edition의 XSL Content portlet에 미지정 취약점이 존재하며, Apache Tomcat 환경에서 원격 공격자가 XSL 템플릿 처리 과정의 부적절한 입력 검증을 악용하여 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
Liferay 웹사이트의 XSL Content 기능에 보안 결함이 있어 인터넷을 통해 공격자가 서버에서 원격 명령을 실행할 수 있습니다. Tomcat 서버를 사용하는 경우 더욱 위험합니다.
🇺🇸 원문 (English)
Unspecified vulnerability in the XSL Content portlet in Liferay Portal Community Edition (CE) 5.x and 6.x before 6.0.6 GA, when Apache Tomcat is used, allows remote attackers to execute arbitrary commands via unknown vectors.
📍 영향받는 시스템
Liferay Portal CE 5.x 및 6.0.0~6.0.5 (6.0.6 GA 이전)
⚔️ 공격 벡터
XSL Content portlet에 미검증된 XSL 템플릿을 입력하여 XSLT 처리 중 명령 실행 트리거
🛡️ 대응 방법
Liferay Portal을 6.0.6 GA 이상으로 업그레이드하거나 XSL Content portlet 접근 제한
🔧 검증 코드
웹 서버의 XSL 관련 portlet 설정 파일을 확인하거나 Liferay 버전이 6.0.6 미만인지 확인합니다. 영향받는 버전이면 즉시 업그레이드 필요합니다.
grep -r 'xsl.*portlet' /opt/liferay/*/WEB-INF/web.xml 2>/dev/null || echo 'Check Liferay version with curl -s http://localhost:8080/web/guest | grep -i version'