CVE-2024-25606
Acerca de
Vulnerabilidad XXE en Liferay Portal 7.2.0 hasta 7.4.3.7, y versiones anteriores no soportadas, y Liferay DXP 7.4 antes del update 4, 7.3 antes del update 12, 7.2 antes del fix pack 20, y versiones anteriores no soportadas, que permite a atacantes con permiso para desplegar widgets/portlets/extensiones obtener información sensible o consumir recursos del sistema a través del método Java2WsddTask._format.
Análisis del analista Rainforest
Este fallo de Liferay permite apuntar un analizador XML hacia entidades externas, de modo que un documento manipulado puede traer archivos o saturar recursos del backend durante el procesamiento. La salvedad importante está en el propio aviso: requiere una cuenta con permiso para desplegar widgets, portlets o extensiones, lo cual es una capacidad privilegiada, no algo entregado a usuarios comunes.
A causa de ese umbral, sumado a un ataque que el proveedor califica como difícil, esto no es territorio de escáneres oportunistas. Se lee como una escalada interna o posterior a un compromiso: alguien que ya posee derechos de despliegue convirtiéndolos en divulgación de archivos o agotamiento de recursos. El radio de impacto es real, pero la población de personas capaces de apretar el gatillo es pequeña por diseño.
A esta la clasificamos por debajo de su 8.0 para la mayoría de los entornos y nos apoyamos en la revisión de accesos más que en el parcheo de emergencia. La pregunta que hacemos es quién realmente posee el permiso de desplegar widgets/extensiones en nuestro parque de Liferay, y si ese conjunto es tan pequeño y confiable como debería. Ajustar ese rol limita a la vez este bug y toda una familia de abusos de privilegios de despliegue; el parcheo luego sigue la cadencia normal.
Referencias
CVEs Relacionadas
No hay CVEs relacionadas.
Preguntas frecuentes
¿Qué es CVE-2024-25606?
Vulnerabilidad XXE en Liferay Portal 7.2.0 hasta 7.4.3.7, y versiones anteriores no soportadas, y Liferay DXP 7.4 antes del update 4, 7.3 antes del update 12, 7.2 antes del fix pack 20, y versiones anteriores no soportadas, que permite a atacantes con permiso para desplegar widgets/portlets/extensiones obtener información sensible o consumir recursos del sistema a través del método Java2WsddTask._format.
¿Qué tan grave es CVE-2024-25606?
CVE-2024-25606 tiene una puntuación base CVSS 3.1 de 8, calificada como high. En el Rainforest Risk Index — que pondera la gravedad junto con lo fácil que es alcanzar la falla y la amplitud de su impacto — obtiene 86 sobre 100, en la banda crítico.
¿Cómo se explota CVE-2024-25606?
Según el vector CVSS (CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H): vector de ataque Red, complejidad de ataque Alta, privilegios necesarios Alto, interacción del usuario Ninguna. Impacto en confidencialidad Alto, integridad Alto y disponibilidad Alto.
¿Qué productos afecta CVE-2024-25606?
Los avisos públicos listan como afectados: digital experience platform, liferay portal. Consulta las referencias de esta página para las versiones exactas que confirma cada proveedor.
¿Cómo se corrige CVE-2024-25606?
Aplica la corrección publicada por el proveedor — las referencias de esta página enlazan a los avisos y parches originales. Cuando no se pueda parchear de inmediato, reduce la exposición del componente afectado y vigila los intentos de explotación. Los clientes de Rainforest ven esta vulnerabilidad correlacionada con sus propios activos y priorizada por la exposición real, no solo por la puntuación.
Potencia tu estrategia de seguridad con Rainforest
Descubre vulnerabilidades a tiempo, prioriza amenazas críticas y protege lo que realmente importa. Rainforest simplifica tus operaciones de seguridad, ahorrando tiempo y reduciendo costos, para que te enfoques en lo que impulsa tu negocio.