Liferay Portal e Liferay DXP Vulneráveis a CSRF no Script Console

A exploração bem-sucedida da vulnerabilidade CVE-2024-8980 pode resultar na execução de código arbitrário no servidor Liferay Portal. Um atacante pode, por exemplo, modificar configurações do sistema, acessar dados sensíveis, ou até mesmo comprometer completamente o servidor. A capacidade de executar scripts Groovy arbitrariamente concede ao atacante um nível elevado de controle sobre o sistema, permitindo a realização de diversas ações maliciosas. Dada a popularidade do Liferay Portal em ambientes corporativos, o impacto potencial dessa vulnerabilidade é significativo, podendo levar a roubo de dados, interrupção de serviços e danos à reputação.

Organizations heavily reliant on Liferay Portal for their web applications and content management are at significant risk. This includes businesses using Liferay for customer portals, e-commerce platforms, or internal applications. Environments with legacy Liferay configurations or those lacking robust security practices are particularly vulnerable.

• linux / server: Monitor Liferay Portal logs for unusual script execution attempts or suspicious URLs containing script console references. Use journalctl -f to monitor for related errors.

journalctl -f | grep "Script Console" 

• generic web: Use curl to test for CSRF vulnerabilities by crafting malicious requests targeting the Script Console.

curl -X POST -d 'some_malicious_script' https://your-liferay-portal/scriptconsole 

• java: Review Liferay Portal's security configuration files for proper CSRF protection settings. Check for any disabled or misconfigured CSRF filters.

1. 2024-10-22Disclosure

   disclosure

2. 2024-10-22Patch

   patch

1. Reservado2024-09-18
2. Publicada2024-10-22
3. Modificada2025-07-29
4. EPSS atualizado2026-04-02

A mitigação primária para a vulnerabilidade CVE-2024-8980 é a atualização imediata para uma versão corrigida do Liferay Portal ou Liferay DXP. A versão corrigida é 7.4.3.102-GA102. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias, como a restrição do acesso ao Script Console apenas a usuários autorizados e a implementação de políticas de segurança de conteúdo (CSP) para mitigar o risco de ataques CSRF. Monitore logs do sistema em busca de atividades suspeitas e considere a implementação de um Web Application Firewall (WAF) para bloquear solicitações maliciosas. Após a atualização, confirme a correção verificando se o Script Console está devidamente protegido contra ataques CSRF.