LSV-412 および LSV-545 のフォローアップ セキュリティ アラート

一般情報

2020 年 4 月 2 日 の前回のフォロー発表以降、 LSV-412 および LSV-545で報告された脆弱性を利用して、Liferay サイトを悪用しようとする試みの報告が増加しています。

Liferay は、Liferay Portal 6.2 EE および DXP 環境をすぐに確認して、これらの脆弱性が既に修正されているパッチ レベルで実行されていることを確認することを強くお勧めします (以下の修正済みバージョンを参照してください)。 お客様が適切なパッチ レベルに更新しないことを選択した場合は、以下に説明する回避策に従ってください。

脆弱性

これらの脆弱性は、次のセキュリティ アラートですでに対処されています。

• LSV-412 (2018 年 12 月)
• LSV-545 (2019 年 10 月)

セキュリティレベル

重大度レベル 1

説明

上記のヘルプ センターのページを参照して、各脆弱性の詳細を確認し、パッチの入手可能性に関する情報を入手してください。 クイック リファレンスとして、これらの脆弱性が既に修正されているバージョンとパッチ レベルのリストを提供しています。

• Liferay ポータル 6.2 EE Portal-171+
• Liferay DXP 7.0 Fix Pack 87+ または Service Pack 12+
• Liferay DXP 7.1 Fix Pack 15+ または Service Pack 3+
• Liferay DXP 7.2 Fix Pack 2+ または Service Pack 1+

回避策

一時的な回避策として、次のポータル プロパティを falseに設定して、JSON Web サービスを無効にすることができます。

 json.web.service.enabled=true

この を false に設定すると、JSON Web サービス呼び出しを行うポートレットが機能しなくなることに注意してください。

推奨される長期的な解決策は、この問題が修正されたパッチ レベルに移行することです。