【活用ガイド】

JVNDB-2014-003286

Liferay Portal に複数のクロスサイトスクリプティングの脆弱性

概要

Liferay が提供する Liferay Portal には、複数のクロスサイトスクリプティングの脆弱性が存在します。

Liferay Portal には、my account area のページにクロスサイトスクリプティングの脆弱性 (CWE-79) が存在します。

CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
https://cwe.mitre.org/data/definitions/79.html

次のページおよびパラメータが本脆弱性の影響を受けることが確認されています。

/group/control_panel/manage [_2_firstName parameter]
/group/control_panel/manage [_2_lastName parameter]
/group/control_panel/manage [_2_middleName parameter]
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 3.5 (注意) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 単一
  • 機密性への影響(C): なし
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): なし
影響を受けるシステム


Liferay
  • Liferay Portal 6.1.2 CE GA3
  • Liferay Portal 6.1.X EE
  • Liferay Portal 6.2.X EE

想定される影響

Liferay Portal の my account area にアクセス可能な他のユーザにより、もしくは、ユーザが当該製品にログインしている状態で細工された URL を閲覧させられることにより、ユーザのウェブブラウザ上で任意のスクリプトを実行される可能性があります。
結果として、情報を取得されたり、権限を昇格されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。
対策

[アップデートする]
本脆弱性は、コミット LPS-46156 により修正されています。

LPS-46156
https://github.com/samuelkong/liferay-portal/pull/610
ベンダ情報

Liferay
CWEによる脆弱性タイプ一覧  CWEとは?

  1. クロスサイトスクリプティング(CWE-79) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2014-2963
参考情報

  1. JVN : JVNVU#98939460
  2. National Vulnerability Database (NVD) : CVE-2014-2963
  3. US-CERT Vulnerability Note : VU#100972
更新履歴

  • [2014年07月10日]
      掲載
    [2014年07月11日]
      参考情報：National Vulnerability Database (NVD) (CVE-2014-2963) を追加

公表日2014/07/09
登録日2014/07/10
最終更新日2014/07/11