Liferay Portal en Liferay DXP kwetsbaar voor CSRF in de Script Console

Een succesvolle exploitatie van deze CSRF-kwetsbaarheid kan leiden tot ongeautoriseerde acties binnen de Liferay Portal omgeving. Aanvallers kunnen bijvoorbeeld configuratiewijzigingen aanbrengen, gebruikersaccounts beheren, of gevoelige data wijzigen. Omdat de kwetsbaarheid via een XSS-aanval kan worden gecombineerd, kan de impact aanzienlijk worden vergroot. Het uitvoeren van willekeurige Groovy-scripts biedt een aanvaller een breed scala aan mogelijkheden om de applicatie te compromitteren en toegang te krijgen tot onderliggende systemen. Dit is vergelijkbaar met de impact van andere CSRF-kwetsbaarheden waarbij de mogelijkheid bestaat om gevoelige data te stelen of de functionaliteit van de applicatie te misbruiken.

Organizations heavily reliant on Liferay Portal for their web applications and content management are at significant risk. This includes businesses using Liferay for customer portals, e-commerce platforms, or internal applications. Environments with legacy Liferay configurations or those lacking robust security practices are particularly vulnerable.

• linux / server: Monitor Liferay Portal logs for unusual script execution attempts or suspicious URLs containing script console references. Use journalctl -f to monitor for related errors.

journalctl -f | grep "Script Console" 

• generic web: Use curl to test for CSRF vulnerabilities by crafting malicious requests targeting the Script Console.

curl -X POST -d 'some_malicious_script' https://your-liferay-portal/scriptconsole 

• java: Review Liferay Portal's security configuration files for proper CSRF protection settings. Check for any disabled or misconfigured CSRF filters.

1. 2024-10-22Disclosure

   disclosure

2. 2024-10-22Patch

   patch

1. Gereserveerd2024-09-18
2. Gepubliceerd2024-10-22
3. Gewijzigd2025-07-29
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-8980 is het upgraden naar een versie van Liferay Portal of DXP die de kwetsbaarheid heeft verholpen, namelijk 7.4.3.102-GA102 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van strikte CSRF-beschermingsmaatregelen op applicatieniveau. Dit kan inhouden het toevoegen van CSRF-tokens aan alle kritieke formulieren en acties. Het configureren van een Web Application Firewall (WAF) om CSRF-aanvallen te detecteren en te blokkeren kan ook een effectieve tijdelijke oplossing zijn. Controleer de Liferay-documentatie voor specifieke configuratie-instructies. Na de upgrade, verifieer de bescherming door te proberen een CSRF-aanval uit te voeren op een kritieke actie en te controleren of deze wordt geblokkeerd.