🇰🇷 한글 설명
Liferay Portal 7.3.4 이하 버전 및 특정 Liferay DXP 버전의 JSON 웹 서비스에서 과도하게 상세한 오류 메시지가 노출되는 취약점이 발견되었습니다. 공격자는 이 메시지를 통해 시스템 내부 정보를 수집하여 더 정교한 2차 공격을 수행할 수 있습니다.
💡 쉬운 설명
프로그램이 오류가 났을 때 너무 자세한 정보를 알려주는 문제입니다. 해커는 이 정보를 보고 시스템의 약점을 파악하여 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
The JSON web services in Liferay Portal 7.3.4 and earlier, and Liferay DXP 7.0 before fix pack 97, 7.1 before fix pack 20 and 7.2 before fix pack 10 may provide overly verbose error messages, which allows remote attackers to use the contents of error messages to help launch another, more focused attacks via crafted inputs.
📍 영향받는 시스템
Liferay Portal 7.3.4 이하, Liferay DXP 7.0(fix pack 97 미만), 7.1(fix pack 20 미만), 7.2(fix pack 10 미만)
⚔️ 공격 벡터
조작된 입력을 전송하여 시스템으로부터 상세한 오류 메시지를 유도하는 방식
🛡️ 대응 방법
Liferay에서 제공하는 최신 Fix Pack 또는 보안 패치를 적용하여 오류 메시지 노출을 제한해야 합니다.
🔧 검증 코드
API 요청 시 시스템 내부 경로, 스택 트레이스 등 민감한 정보가 포함된 상세 오류 메시지가 출력되는지 확인합니다.
curl -s -X GET 'https://<target-url>/api/endpoint' | grep -i 'error'