公開日：2014/07/10 最終更新日：2014/07/10
JVNVU#98939460
Liferay Portal に複数のクロスサイトスクリプティングの脆弱性
Liferay が提供する Liferay Portal には、複数のクロスサイトスクリプティングの脆弱性が存在します。
- Liferay Portal 6.1.2 CE GA3
- Liferay Portal 6.1.X EE
- Liferay Portal 6.2.X EE
Liferay Portal には、my account area のページにクロスサイトスクリプティングの脆弱性 (CWE-79) が存在します。
次のページおよびパラメータが本脆弱性の影響を受けることが確認されています。
/group/control_panel/manage [_2_firstName parameter]
/group/control_panel/manage [_2_lastName parameter]
/group/control_panel/manage [_2_middleName parameter]
Liferay Portal の my account area
にアクセス可能な他のユーザにより、もしくは、ユーザが当該製品にログインしている状態で細工された URL
を閲覧させられることにより、ユーザのウェブブラウザ上で任意のスクリプトを実行される可能性があります。
結果として、情報を取得されたり、権限を昇格されたり、サービス運用妨害 (DoS) 攻撃を受けたりする可能性があります。
アップデートする
本脆弱性は、コミット LPS-46156 により修正されています。
| ベンダ | リンク |
| Liferay, Inc. | Liferay Japan公式ページ 企業ポータル |
| samuelkong/liferay-portal |
-
CERT/CC Vulnerability Note VU#100972
Liferay Portal PCE contains multiple cross-site scripting vulnerabilities
2014.07.10における脆弱性分析結果(CVSS Base Metrics)
| 評価尺度 | 評価値 | 説明 | ||
|---|---|---|---|---|
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) | ネットワーク経由でリモートから攻撃可能 |
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) | 攻撃成立に何らかの条件が必要 |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) | 単一の認証が必要 |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) | 情報は漏えいしない |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) | 情報の正確さや完全さが部分的に損なわれる |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) | システムの使用は阻害されない |
Base Score:3.5
