Liferay Portal ComboServlet denial of service via grote bestandscombinatie

Een succesvolle exploitatie van deze kwetsbaarheid kan resulteren in een Denial of Service (DoS) aanval op de Liferay Portal server. Dit betekent dat legitieme gebruikers geen toegang meer hebben tot de applicatie, wat kan leiden tot aanzienlijke verstoring van de dienstverlening. De aanvaller kan de server overbelasten door het creëren van extreem grote responses via de URL query string. De impact is aanzienlijk, aangezien een DoS aanval de beschikbaarheid van de applicatie volledig kan uitschakelen. Er is potentieel voor een breed bereik, aangezien alle gebruikers van de getroffen Liferay Portal instanties kwetsbaar zijn. De kwetsbaarheid lijkt op andere DoS-aanvallen die gebruik maken van resource-exhaustion technieken.

Organizations running Liferay Portal or Liferay DXP in production environments are at risk. Specifically, deployments using older, unsupported versions or those that have not applied recent updates are particularly vulnerable. Shared hosting environments where multiple tenants share the same Liferay instance may also be affected, as an attacker could potentially exploit the vulnerability to impact other tenants.

• linux / server: Monitor Liferay Portal logs for unusual activity related to the ComboServlet. Look for requests with extremely long URLs or large file sizes. Use journalctl -u liferay to filter for relevant log entries.

journalctl -u liferay | grep "ComboServlet" | grep -i "large file"

• generic web: Use curl to test the ComboServlet endpoint with a crafted URL containing a large number of files or a very large file. Monitor server resource usage (CPU, memory) during the test.

curl 'http://your-liferay-portal/alfresco/service/api/combo?client=portal&c=combo&comboType=file&file=file1.txt,file2.txt,file3.txt,...' -v

1. 2025-10-24Disclosure

   disclosure

1. Gereserveerd2025-10-09
2. Gepubliceerd2025-10-24
3. Gewijzigd2025-11-15
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-62254 is het upgraden naar Liferay Portal versie 97.0.0 of hoger, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het implementeren van Web Application Firewall (WAF) regels om de URL query string te beperken en de grootte van responses te controleren. Configureer de server om een maximale grootte voor responses af te dwingen. Monitor de serverlogboeken op ongebruikelijke patronen van verzoeken met zeer grote URL query strings. Na de upgrade, bevestig de correctie door een test uit te voeren die de ComboServlet aanroept met een grote URL query string en controleer of de server niet overbelast raakt.