🇰🇷 한글 설명
Liferay Portal 및 DXP의 특정 버전에서 Freemarker 템플릿에 민감한 사용자 데이터가 포함될 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 권한이 없는 공격자가 제한되어야 할 기밀 정보에 접근하고 이를 화면에 출력할 수 있습니다.
💡 쉬운 설명
웹사이트의 디자인 틀(템플릿)을 통해 보여주지 말아야 할 개인정보가 실수로 노출될 수 있는 문제입니다. 해커가 이 허점을 이용하면 사용자의 비밀스러운 정보를 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in Liferay Portal 7.4.0 through 7.4.3.132, and Liferay DXP 2025.Q1.0 through 2025.Q1.4, 2024.Q4.0 through 2024.Q4.5, 2024.Q3.0 through 2024.Q3.13, 2024.Q2.1 through 2024.Q2.13, 2024.Q1.1 through 2024.Q1.12, 2023.Q4.0 through 2023.Q4.10, 2023.Q3.1 through 2023.Q3.10, and 7.4 GA through update 92 allows sensitive user data to be included in the Freemarker template. This weakness permits an unauthorized actor to gain access to, and potentially render, confidential information that should remain restricted.
📍 영향받는 시스템
Liferay Portal 7.4.0~7.4.3.132, Liferay DXP 2023.Q3.1~2025.Q1.4 및 7.4 GA~update 92
⚔️ 공격 벡터
Freemarker 템플릿 엔진을 악용하여 권한 없이 민감한 데이터에 접근 및 렌더링
🛡️ 대응 방법
Liferay에서 제공하는 최신 보안 패치 및 업데이트 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전 정보가 취약점이 존재하는 범위(7.4.0~7.4.3.132 또는 명시된 DXP 버전)에 포함되는지 확인
curl -s http://<target-ip>/api/v1/version | grep -E 'Liferay (Portal|DXP)'