Liferay Portal の安全でないデシリアライズの脆弱性（CVE-2020-7961）

何が起きた

Liferay Portal に、外から受け取ったデータを安全か確かめないまま逆シリアル化（プログラムで使える形に戻すこと）してしまう弱点が見つかりました。NVD の説明によると、JSONWS（JSON web services）を通じて、攻撃者が任意のコード（攻撃者が好きに選べるプログラム）を実行できます。CISA の KEV に載っており、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインなどの権限なしに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Liferay Portal の 7.2.1 CE GA2 より前の版を使っている組織が対象です。

何をすればいい

NVD の説明では 7.2.1 CE GA2 より前が影響を受けるため、Liferay Portal が 7.2.1 CE GA2 以降に更新されているか確認します。あわせて、Liferay の公式の案内（既知の脆弱性の一覧）を確認し、その案内に従って更新や対策をしてください。

やることチェックリスト

• Liferay Portal を 7.2.1 CE GA2 以降に更新する
• 使っている Liferay Portal の版を確認する
• Liferay の案内に従って更新や対策をする

用語メモ

逆シリアル化 用語集で見る

送られてきたデータを、プログラムの中で使えるデータの形に戻す処理のことです。中身を確かめずに戻すと、攻撃に使われることがあります。

JSONWS

Liferay Portal の機能を、JSON という形式のデータでネットワーク越しに呼び出すための仕組みです。

任意のコード 用語集で見る

攻撃者が好きに選んで実行させることができるプログラムのことです。