Liferay Portal および Liferay DXP は Script Console で CSRF の脆弱性を抱えています

このCSRF脆弱性は、攻撃者が認証済みユーザーになりすまして、Script Consoleを通じて任意のGroovyスクリプトを実行することを可能にします。これにより、機密データの漏洩、設定の変更、さらにはシステム全体の制御権の奪取といった深刻な影響が考えられます。攻撃者は、XSS脆弱性を悪用して、ユーザーを悪意のあるURLに誘導したり、巧妙に偽装されたフォームを送信することで、CSRF攻撃を実行できます。Liferay PortalのScript Consoleは、システム管理者がスクリプトを実行できる強力な機能であるため、この脆弱性が悪用されると、広範囲にわたる損害が発生する可能性があります。

Organizations heavily reliant on Liferay Portal for their web applications and content management are at significant risk. This includes businesses using Liferay for customer portals, e-commerce platforms, or internal applications. Environments with legacy Liferay configurations or those lacking robust security practices are particularly vulnerable.

• linux / server: Monitor Liferay Portal logs for unusual script execution attempts or suspicious URLs containing script console references. Use journalctl -f to monitor for related errors.

journalctl -f | grep "Script Console" 

• generic web: Use curl to test for CSRF vulnerabilities by crafting malicious requests targeting the Script Console.

curl -X POST -d 'some_malicious_script' https://your-liferay-portal/scriptconsole 

• java: Review Liferay Portal's security configuration files for proper CSRF protection settings. Check for any disabled or misconfigured CSRF filters.

1. 2024-10-22Disclosure

   disclosure

2. 2024-10-22Patch

   patch

1. 予約済み2024-09-18
2. 公開日2024-10-22
3. 更新日2025-07-29
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずLiferay PortalおよびDXPを、Liferay Portal 7.4.3.102、DXP 2024.Q1.1、DXP 2023.Q3.5、DXP 2023.Q4.0などの修正バージョンにアップデートすることを推奨します。アップデートが困難な場合は、Script Consoleへのアクセスを制限する、またはCSRFトークンを適切に検証するなどの一時的な回避策を検討してください。WAF（Web Application Firewall）を導入し、CSRF攻撃を検知・防御するルールを設定することも有効です。また、Liferay Portalのログを監視し、不審なアクティビティがないか確認することも重要です。アップデート後、Script Consoleの動作を検証し、CSRF攻撃の影響がないことを確認してください。