CVE-2022-42124

Liferay Portal, versões 7.3.2 a 7.4.3.4

Liferay DXP, versões 7.2 fix pack 9 a fix pack 18

Liferay DXP, versão 7.3 antes da atualização 4

Liferay DXP, versão 7.4 GA

Uma vulnerabilidade ReDoS no LayoutPageTemplateEntryUpgradeProcess permite que invasores remotos consumam uma quantidade excessiva de recursos do servidor por meio de uma carga maliciosa injetada no campo name de um protótipo de layout.

Para as versões do Liferay Portal 7.3.2 a 7.4.3.4, atualize para uma versão fora desse intervalo para mitigar o risco.

Para as versões do Liferay DXP 7.2 fix pack 9 a fix pack 18, atualize para uma versão fora desse intervalo ou aplique a atualização 4 ou posterior para a versão 7.3.

Para a versão 7.3 do Liferay DXP anterior à atualização 4, aplique a atualização 4 ou posterior.

Para o Liferay DXP versão 7.4 GA, considere desativar o LayoutPageTemplateEntryUpgradeProcess até que um patch esteja disponível.

Como solução alternativa temporária, considere restringir o acesso ao campo name de um protótipo de layout para minimizar o risco de exploração.