PT-2024-20776 · Liferay · Liferay Portal+1
CVE-2024-25143
·
Publicado
2024-02-07
·
Atualizado
2024-11-08
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Liferay Portal 7.2.0 a 7.3.6
Liferay DXP 7.3 anterior ao Service Pack 3
Liferay DXP 7.2 anterior ao Fix Pack 13
Descrição
O widget Document and Media no Liferay Portal não limita o consumo de recursos ao gerar uma imagem de pré-visualização, o que permite que usuários remotos autenticados causem uma negação de serviço (consumo de memória) por meio de imagens PNG especialmente criadas.
Recomendações
Para as versões 7.2.0 a 7.3.6 do Liferay Portal, atualize para uma versão que inclua a correção para este problema.
Para o Liferay DXP 7.3, aplique o Service Pack 3 ou posterior.
Para o Liferay DXP 7.2, aplique o Fix Pack 13 ou posterior.
Como solução alternativa temporária, considere desativar o widget Documentos e Mídia até que um patch esteja disponível.
Restrinja o acesso ao widget para minimizar o risco de exploração.
Correção
DoS
Resource Exhaustion
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Liferay Dxp
Liferay Portal