🇰🇷 한글 설명
Liferay Portal 및 DXP의 Batch Engine에서 가져오기 및 내보내기 작업에 대한 권한 검증이 적절히 이루어지지 않는 취약점입니다. 이로 인해 인증된 원격 사용자가 REST API를 통해 내보내진 데이터에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 사람의 데이터 내보내기 파일을 몰래 볼 수 있는 보안 결함입니다. 해커가 계정을 하나 가지고 있다면 시스템 내부의 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Batch Engine in Liferay Portal 7.4.0 through 7.4.3.112, and Liferay DXP 2023.Q4.0 through 2023.Q4.7, 2023.Q3.1 through 2023.Q3.10, and 7.4 GA through update 92 does not properly check permission with import and export tasks, which allows remote authenticated users to access the exported data via the REST APIs.
📍 영향받는 시스템
Liferay Portal 7.4.0~7.4.3.112, Liferay DXP 2023.Q4.0~2023.Q4.7, 2023.Q3.1~2023.Q3.10, 7.4 GA~update 92
⚔️ 공격 벡터
인증된 원격 사용자가 REST API를 호출하여 권한 없이 내보내기 데이터를 탈취
🛡️ 대응 방법
Liferay 보안 패치가 적용된 최신 버전으로 시스템 업데이트
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 패치가 필요하며, 최신 패치 버전이 출력되면 안전합니다.
curl -s -X GET http://<target-ip>/api/v1/version | grep -E '7.4\.(?!3\.112|92)'