Liferay Portal 6.1.0 ユーザー列挙

medium Nessus プラグイン ID 59358

言語:

概要

リモートの Web サーバーには、情報漏洩の脆弱性の影響を受ける Java アプリケーションがあります。

説明

リモートの Web サーバーでホストされているバージョンの Liferay Portal には、「SearchPermissionCheckerImpl」クラスの「doGetPermissionQuery」メソッドに欠陥があり、これによって、認証されていないリモートの攻撃者が全てのユーザーアカウントを列挙できます。列挙されたそれぞれのユーザーの電子メールアドレスが発見される可能性もあります。

ソリューション

Git での最新バージョンに更新してください。または入手できるようになったら、 6.2.0 に更新してください。

プラグインの詳細

深刻度: Medium

ID: 59358

ファイル名: liferay_lps25877_user_enum.nasl

バージョン: 1.9

タイプ: remote

ファミリー: CGI abuses

公開日: 2012/6/4

更新日: 2022/4/11

構成: 徹底的なチェックを有効にする

リスク情報

CVSS v2

リスクファクター: Medium

Base Score: 5

Temporal Score: 4.8

ベクトル: AV:N/AC:L/Au:N/C:P/I:N/A:N

現状ベクトル: E:F/RL:U/RC:ND

脆弱性情報

CPE: cpe:/a:liferay:portal

必要な KB アイテム: www/liferay_portal

除外される KB アイテム: Settings/disable_cgi_scanning

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

Nessus によりエクスプロイト済み: true

パッチ公開日: 2012/3/2

脆弱性公開日: 2012/3/2

エクスプロイト可能

Elliot (Liferay Users disclosure)

参照情報

BID: 53546