Publicado em: 02 de fevereiro de 2024

Resumo de vulnerabilidade

Em 24 de janeiro, o Jenkins anunciou uma vulnerabilidade crítica CVE-2024-23897 que afeta ambientes Liferay hospedados em nuvem. Jenkins é uma ferramenta de integração contínua para construir softwares que permite aos clientes Liferay PaaS implantar softwares em seus ambientes. O produto Liferay DXP em si não é afetado.

Qual é a preocupação?

Esta vulnerabilidade pode ser usada para atacar o serviço Liferay CI usando protocolos HTTP/WebSocket e obter acesso total ao serviço CI do cliente. Este serviço é responsável por construir imagens do cliente a partir do código-fonte. Ao obter acesso, os invasores podem analisar o código do cliente criado pelo serviço de CI. Além disso, os invasores podem causar exposição contínua, ocultando códigos maliciosos em compilações de clientes por meio do conector GitHub ou durante compilações. Essas construções de software modificadas maliciosamente podem ser implantadas em ambientes de nuvem por clientes desavisados ou enganados pela engenharia social. Isso pode levar indiretamente a uma violação do ambiente de produção do cliente.

Como isso impacta a Liferay?

Os clientes Liferay PaaS são afetados pela vulnerabilidade. O time de resposta a incidentes de segurança da Liferay mitigou temporariamente o problema imediato bloqueando solicitações maliciosas para o componente vulnerável, mas os clientes devem atualizar suas instâncias do Jenkins para se protegerem no longo prazo (consulte a seção Correção Permanente abaixo para obter instruções).

Os clientes Liferay SaaS não são afetados porque o Liferay SaaS não usa o Jenkins.

Os produtos Liferay DXP e Liferay Portal não são afetados. Os clientes que mantêm suas implantações locais não precisam executar nenhuma ação relacionada ao DXP. No entanto, é altamente recomendável atualizar o Jenkins se eles estiverem hospedando suas próprias instâncias do Jenkins.

A infraestrutura interna da Liferay não é diretamente afetada e está passando por constante atualizações.

Como posso verificar e mitigar temporariamente minha exposição?

A Liferay já mitigou a ameaça imediata aos clientes Liferay PaaS bloqueando solicitações HTTP.

Os clientes podem verificar se estão expostos visitando/cli/ws e /cli?remoting=false em seu ambiente de CI, por exemplo: https://my-ci-jenkins-url/cli/ws. As páginas devem retornar a seguinte resposta para indicar que a exposição foi mitigada: 403 Forbidden

Se um serviço Jenkins existente que foi mitigado pela Liferay for excluído e recriado sem atualizar a versão da imagem, a mitigação temporária precisará ser aplicada ao serviço recém-criado.

Se os clientes Liferay PaaS estiverem em uma situação em que precisem mitigar temporariamente sua exposição sem aplicar uma correção permanente, eles poderão implantar um script Groovy oficial de https://github.com/jenkinsci-cert/SECURITY-3314-3315/ para seu serviço ci ou excluindo temporariamente seu serviço ci antes de estarem prontos para aplicar a correção.

Qual é a correção permanente e oficial?

Baseada na recomendação oficial do Jenkins, a Liferay preparou uma versão corrigida da imagem ci com o componente vulnerável desativado: liferaycloud/jenkins:2.356-jdk8-5.2.1. 

Os clientes podem implantar a imagem alterando o arquivo LCP.json para o serviço ci e reimplantando o serviço dentro do ambiente infra:

{

  "kind": "StatefulSet",

  "id": "ci",

  "image": "liferaycloud/jenkins:2.356-jdk8-5.2.1",

Dúvidas?

Por favor, contate o Suporte Liferay para informações adicionais.