Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

30/04/2019

Detectades múltiples vulnerabilitats en Liferay Portal CE

S'han detectat vulnerabilitats en Liferay Portal CE que a través de la càrrega d'arxius grans podrien provocar una denegació del servei.

En ometre's la validació de càrrega d'arxius es pot permetre carregar arxius molt grans, els quals es poden utilitzar en un atac de denegació de servei (doS). Els arxius que s'ometen durant la validació són:

• PrimeFaces 6.2+ p:fileUpload.
• RichFaces rich:fileUpload.
• com.liferay.faces.bridge.uploadedFileMaxSize on IceFaces ace:fileEntry.
• com.liferay.faces.util.uploadedFileMaxSize amb alloy:inputFile en Portlets.
• IceFaces 1.8 hisse:inputFile.

Els recursos afectats són:

• com.liferay.faces.bridge.impl-4.1.2
• com.liferay.faces.bridge.impl-3.1.0
• liferay-faces-bridge-impl-4.2.5-ga6
• liferay-faces-bridge-impl-3.2.5-ga6
• liferay-faces-bridge-impl-3.1.5-ga6
• liferay-faces-bridge-impl-3.0.5-ga6
• liferay-faces-bridge-impl-3.0.5-legacy-ga6
• com.liferay.faces.bridge.impl-4.1.2
• com.liferay.faces.bridge.impl-3.1.0
• liferay-faces-bridge-impl-4.2.5-ga6
• liferay-faces-bridge-impl-3.2.5-ga6
• liferay-faces-bridge-impl-3.1.5-ga6
• liferay-faces-bridge-impl-3.0.5-ga6
• liferay-faces-bridge-impl-3.0.5-legacy-ga6
• com.liferay.faces.bridge.impl-4.1.2
• com.liferay.faces.bridge.impl-3.1.0
• liferay-faces-bridge-impl-4.2.5-ga6
• liferay-faces-bridge-impl-3.2.5-ga6

Sistemes Afectats:

• Liferay Portal 5.2
• Liferay Portal 6.0
• Liferay Portal 6.1
• Liferay Portal 6.2
• Liferay Portal 7.0
• Liferay Portal 7.1
• Pluto Portal 2.0

Referències:

None

Solució:

Apliqueu el parche en funció de la versió afectada.

 

Notes:

Més informació

DoS via large file upload 

CSIRT-CV