🇰🇷 한글 설명
Liferay Portal 및 DXP의 특정 버전에서 삭제된 클라이언트 비밀번호(Client Secret)를 사용하여 로그인을 시도할 경우, 응답 본문에 'Internal Server Error'가 노출되는 취약점이 발견되었습니다. 이는 시스템 내부 정보가 의도치 않게 노출될 수 있는 위험을 내포합니다.
💡 쉬운 설명
로그인할 때 이미 삭제된 비밀번호를 입력하면 서버가 내부 오류 메시지를 그대로 보여주는 문제입니다. 이 메시지를 통해 해커가 시스템의 내부 구조를 파악할 수 있는 힌트를 얻을 수 있습니다.
🇺🇸 원문 (English)
Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q2.0 through 2025.Q2.9, 2025.Q1.0 through 2025.Q1.16, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.0 through 2024.Q2.13 and 2024.Q1.1 through 2024.Q1.19 exposes "Internal Server Error" in the response body when a login attempt is made with a deleted Client Secret.
📍 영향받는 시스템
Liferay Portal 7.4.0~7.4.3.132, Liferay DXP 2024.Q1.1~2025.Q2.9 범위의 버전
⚔️ 공격 벡터
삭제된 Client Secret을 이용한 인증 시도 및 응답 본문의 오류 메시지 확인
🛡️ 대응 방법
Liferay에서 제공하는 최신 보안 패치 버전으로 시스템 업데이트 수행
🔧 검증 코드
명령어 실행 결과 응답 본문에 'Internal Server Error' 문구가 포함되어 있으면 취약한 상태입니다.
curl -s -i -X POST [TARGET_URL]/login -d 'client_secret=deleted_secret' | grep -i 'Internal Server Error'