• +54 (011) 4323-9362
  • |
  • de Lun a Vie de 9 a 17 hs
  • |
  • ciberseguridad@ba-csirt.gob.ar

############################
|A|L|E|R|T|A|S| |B|A|-|C|S|I|R|T|
############################

Vulnerabilidad DoS en Liferay

29/04/2019

=============================================
CVE-
Fecha de lanzamiento: 29/04/2019
Gravedad: Alta
=============================================

VULNERABILIDAD

Múltiples vulnerabilidades en Liferay Portal CE pueden provocar la denegación del servicio a través de la carga de archivos grandes.

INFORMACIÓN

Liferay es un portal de gestión de contenidos de código abierto escrito en Java. Se creó en 2000, en principio como solución para las organizaciones sin ánimo de lucro. Asimismo, Liferay Inc. es la empresa de código abierto, que proporciona la documentación gratuita y el servicio profesional de pago a los usuarios de su software. Principalmente enfocada en la tecnología de portales corporativos y empresariales, tiene su sede en Diamond Bar, California, EE.UU.

DESCRIPCIÓN

Cuando se utiliza en conjunto con Liferay Faces Bridge, la validación de carga de archivos puede omitirse, lo que permite cargar archivos muy grandes que se pueden utilizar en un ataque de denegación de servicio (DoS). Los archivos que se omiten durante la validación son:

- PrimeFaces 6.2+ p:fileUpload.
- RichFaces rich:fileUpload.
- com.liferay.faces.bridge.uploadedFileMaxSize on IceFaces ace:fileEntry.
- com.liferay.faces.util.uploadedFileMaxSize con alloy:inputFile en Portlets.
- IceFaces 1.8 ice:inputFile.

SISTEMAS AFECTADOS

- com.liferay.faces.bridge.impl-4.1.2
- com.liferay.faces.bridge.impl-3.1.0
- liferay-faces-bridge-impl-4.2.5-ga6
- liferay-faces-bridge-impl-3.2.5-ga6
- liferay-faces-bridge-impl-3.1.5-ga6
- liferay-faces-bridge-impl-3.0.5-ga6
- liferay-faces-bridge-impl-3.0.5-legacy-ga6
- com.liferay.faces.bridge.impl-4.1.2
- com.liferay.faces.bridge.impl-3.1.0
- liferay-faces-bridge-impl-4.2.5-ga6
- liferay-faces-bridge-impl-3.2.5-ga6
- liferay-faces-bridge-impl-3.1.5-ga6
- liferay-faces-bridge-impl-3.0.5-ga6
- liferay-faces-bridge-impl-3.0.5-legacy-ga6
- com.liferay.faces.bridge.impl-4.1.2
- com.liferay.faces.bridge.impl-3.1.0
- liferay-faces-bridge-impl-4.2.5-ga6
- liferay-faces-bridge-impl-3.2.5-ga6

Compatibles con algunas de estas versiones:

- liferay Portal 5.2
- liferay Portal 6.0
- liferay Portal 6.1
- liferay Portal 6.2
- liferay Portal 7.0
- liferay Portal 7.1
- Pluto Portal 2.0

SOLUCIÓN

Aplicar el parche adecuado en función de la versión afectada: https://repo1.maven.org/maven2/com/liferay/faces/patches/com.liferay.faces.lsv.485.patch/1.0.0/

FUENTE

https://www.incibe-cert.es/