Negação de serviço no Liferay Portal ComboServlet via combinação de arquivos grandes

Um atacante pode explorar esta vulnerabilidade enviando uma requisição cuidadosamente elaborada para o ComboServlet, solicitando a combinação de um grande número de arquivos ou arquivos de tamanho considerável. O servidor, sem a devida validação, tentará combinar esses recursos, resultando em uma resposta HTTP extremamente grande. Essa resposta pode consumir toda a largura de banda da rede, esgotar a memória do servidor ou sobrecarregar o processador, levando a uma negação de serviço. O impacto é a indisponibilidade do Liferay Portal, impedindo usuários legítimos de acessar o sistema e seus recursos. A vulnerabilidade pode afetar a disponibilidade de aplicações críticas que dependem do Liferay Portal.

Organizations running Liferay Portal or Liferay DXP in production environments are at risk. Specifically, deployments using older, unsupported versions or those that have not applied recent updates are particularly vulnerable. Shared hosting environments where multiple tenants share the same Liferay instance may also be affected, as an attacker could potentially exploit the vulnerability to impact other tenants.

• linux / server: Monitor Liferay Portal logs for unusual activity related to the ComboServlet. Look for requests with extremely long URLs or large file sizes. Use journalctl -u liferay to filter for relevant log entries.

journalctl -u liferay | grep "ComboServlet" | grep -i "large file"

• generic web: Use curl to test the ComboServlet endpoint with a crafted URL containing a large number of files or a very large file. Monitor server resource usage (CPU, memory) during the test.

curl 'http://your-liferay-portal/alfresco/service/api/combo?client=portal&c=combo&comboType=file&file=file1.txt,file2.txt,file3.txt,...' -v

1. 2025-10-24Disclosure

   disclosure

1. Reservado2025-10-09
2. Publicada2025-10-24
3. Modificada2025-11-15
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Liferay Portal ou Liferay DXP para a versão 97.0.0, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias. Configure um Web Application Firewall (WAF) para bloquear requisições com URLs excessivamente longas ou que contenham um número incomum de parâmetros. Implemente limites de tamanho para as respostas HTTP geradas pelo ComboServlet. Monitore o uso de recursos do servidor (CPU, memória, largura de banda) para detectar anomalias que possam indicar um ataque DoS. Após a atualização, confirme a correção verificando os logs do servidor para garantir que as requisições maliciosas estão sendo bloqueadas e que o ComboServlet está operando dentro dos limites configurados.