Liferay PortalのDynamic Data MappingモジュールのDDMFormおよびLiferay DXPに、保存型クロスサイトスクリプティング (Cross-site Scripting, XSS) の脆弱性が存在します。

この XSS 脆弱性は、攻撃者が認証されたユーザーになりすまして、機密情報を盗んだり、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、ウェブサイトの見た目を改ざんしたりすることを可能にします。攻撃者は、DDMForm の instanceId パラメータに悪意のある JavaScript コードを注入することで、ユーザーのセッション Cookie を盗み、他のユーザーの権限を乗っ取る可能性があります。また、この脆弱性は、Liferay Portal の管理コンソールへの不正アクセスや、機密データの漏洩につながる可能性があります。この脆弱性の影響範囲は広範囲に及び、Liferay Portal を利用している組織全体に影響を及ぼす可能性があります。

Organizations using Liferay Portal and DXP in environments where authenticated users have access to the Dynamic Data Mapping module are at risk. This includes businesses utilizing Liferay for content management, intranet portals, and customer experience platforms. Legacy Liferay installations running unsupported versions are particularly vulnerable due to lack of security updates.

• linux / server: Examine Liferay Portal access logs for suspicious requests targeting the DDMForm with unusual parameters in the instanceId field. Use grep to search for patterns like <script> or javascript: within these requests.

grep -i '<script' /path/to/liferay/portal/logs/access.log

• generic web: Use curl to test the DDMForm endpoint with a simple XSS payload in the instanceId parameter and observe the response for signs of script execution.

curl -X POST -d "instanceId=<script>alert('XSS')</script>" <liferay_portal_url>/ddm/forms/<form_id>

• java: Monitor Liferay Portal's internal logging for errors related to DDMForm processing or unexpected script execution. Analyze stack traces for clues related to the vulnerability. • wordpress / composer / npm: N/A - This vulnerability is specific to Liferay Portal, not WordPress or its dependencies. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability is not related to database systems.

1. 2024-02-21Disclosure

   disclosure

2. 2024-02-21Patch

   patch

1. 予約済み2024-02-08
2. 公開日2024-02-21
3. 更新日2025-01-28
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まず Liferay Portal および Liferay DXP を 7.4.3.5 以降のバージョンにアップグレードすることを推奨します。アップグレードが困難な場合は、一時的な回避策として、DDMForm の instanceId パラメータに対する入力検証を強化し、悪意のあるスクリプトの注入を防止する必要があります。また、Web Application Firewall (WAF) を導入し、XSS 攻撃を検知・防御することも有効です。Liferay Portal のログを監視し、不審なアクティビティを検出することも重要です。アップグレード後、DDMForm の動作を検証し、脆弱性が修正されていることを確認してください。