CVE-2020-7961
Liferay Portal Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2020-7961 ist eine kritische Deserialisierungsschwachstelle fur nicht vertrauenswurdige Daten in Liferay Portal vor Version 7.2.1 CE GA2 mit einem CVSS-Score von 9.8. Die Schwachstelle existiert im JSON Web Services (JSONWS) Endpunkt, der benutzerdefinierte Daten unsachgemass deserialisiert. Ein entfernter, nicht authentifizierter Angreifer kann diesen Fehler ausnutzen, indem er speziell praparierte serialisierte Java-Objekte an die JSONWS-API sendet, was zu beliebiger Codeausfuhrung auf dem Server fuhrt. Diese Schwachstelle wurde aktiv in freier Wildbahn ausgenutzt, unter anderem durch die FreakOut-Botnet-Kampagne, und erfordert keine Authentifizierung oder Benutzerinteraktion zur Ausnutzung. Der hohe EPSS-Score von 0,943 (99,9. Perzentil) spiegelt die weite Verfugbarkeit offentlicher Exploit-Codes und die einfache Ausnutzbarkeit wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| liferay | liferay portal | < 7.2.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157254/Liferay-Portal-Java-Unmarshalling-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/158392/Liferay-Portal-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- https://portal.liferay.dev/learn/security/known-vulnerabilities(Broken Link, Vendor Advisory)
- https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/117954271(Broken Link, Vendor Advisory)
- https://research.checkpoint.com/2021/freakout-leveraging-newest-vulnerabilities-for-creating-a-botnet/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-7961(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
CWE-502 tritt auf, wenn eine Anwendung Daten aus einer nicht vertrauenswurdigen Quelle ohne ordnungsgemasse Validierung deserialisiert, wodurch Angreifer serialisierte Objekte manipulieren konnen, um beliebigen Code auszufuhren, Denial-of-Service zu verursachen oder andere bosartige Aktionen durchzufuhren. Bei CVE-2020-7961 deserialisiert der JSONWS-Endpunkt von Liferay Portal vom Angreifer kontrollierte Java-Objekte ohne angemessene Schutzmassnahmen, was Remote-Code-Execution durch praparierte Serialisierungs-Payloads ermoglicht.
Mehr erfahren: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
Die Auswirkungen von CVE-2020-7961 sind kritisch mit einem CVSS-Score von 9.8 und dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Die Schwachstelle ist uber das Netzwerk mit geringer Angriffskomplexitat ausnutzbar, erfordert keine Berechtigungen oder Benutzerinteraktion und erzielt hohe Auswirkungen auf Vertraulichkeit, Integritat und Verfugbarkeit. Eine erfolgreiche Ausnutzung gewahrt dem Angreifer die vollstandige Kontrolle uber den Liferay-Portal-Server und ermoglicht das Ausfuhren beliebiger Befehle, den Zugriff auf oder die Anderung aller Anwendungsdaten, die Installation von Backdoors und potenzielles Pivoting zu anderen Systemen im Netzwerk. Da Liferay Portal haufig als Enterprise-Content-Management- und Kollaborationsplattform eingesetzt wird, kann eine Kompromittierung sensible Unternehmensdaten, Benutzeranmeldedaten und interne Kommunikation offenlegen.
Exploit-Reifegrad
CVE-2020-7961 wurde als aktiv ausgenutzt bestatigt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog aufgefuhrt, hinzugefugt am 3. November 2021. Der EPSS-Score von 0,943 (99,9. Perzentil) weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin. Mehrere offentliche Exploits sind verfugbar, darunter detaillierter Proof-of-Concept-Code auf Packet Storm Security. Die Schwachstelle wurde insbesondere von der FreakOut-Botnet-Kampagne genutzt, die von Check Point Research dokumentiert wurde und sie zusammen mit anderen Schwachstellen fur Kryptomining und DDoS-Angriffe einsetzte.
Behebung
- Liferay Portal aktualisieren auf Version 7.2.1 CE GA2 oder hoher, da diese Version den offiziellen Fix fur die Deserialisierungsschwachstelle im JSONWS-Endpunkt enthalt.
- Zugriff auf JSONWS-Endpunkte einschranken durch Konfiguration von Web-Application-Firewall-Regeln oder Reverse-Proxy-Konfigurationen, um den Zugriff auf /api/jsonws-Pfade aus nicht vertrauenswurdigen Netzwerken zu blockieren oder zu begrenzen.
- Java-Deserialisierungsfilter implementieren mittels JEP 290 (Serialisierungsfilterung), um einzuschranken, welche Klassen deserialisiert werden konnen, selbst wenn andere Deserialisierungsschwachstellen existieren.
- Server-Logs uberprufen auf verdachtige JSONWS-Anfragen, insbesondere solche mit ungewohnlichen serialisierten Java-Objekt-Payloads oder unerwarteten Klassenreferenzen.
- Grundliche Kompromittierungsbewertung durchfuhren auf allen Liferay-Portal-Instanzen, die verwundbare Versionen mit Internetzugang betrieben haben, und nach Web-Shells, nicht autorisierten Konten und Kryptomining-Malware suchen.
- Netzwerksegmentierung anwenden um den Zugriff des Liferay-Portal-Servers auf interne Ressourcen und Datenbanken zu begrenzen und den potenziellen Schadensradius einer Kompromittierung zu reduzieren.
Technische Details
Die Schwachstelle liegt im JSON Web Services (JSONWS) Framework von Liferay Portal, das eine RESTful-API fur die Interaktion mit Portal-Diensten bereitstellt. Der JSONWS-Endpunkt unter /api/jsonws akzeptiert serialisierte Java-Objekte als Teil von API-Anfragen. Vor Version 7.2.1 CE GA2 implementierte der Deserialisierungsprozess keine angemessene Klassenfilterung oder Validierung, sodass ein Angreifer beliebige Java-Objekte ubermitteln konnte. Durch die Erstellung eines bosartigen serialisierten Objekts unter Verwendung bekannter Java-Deserialisierungs-Gadget-Chains (wie jene aus Apache Commons Collections oder anderen auf dem Classpath vorhandenen Bibliotheken) kann ein Angreifer Remote-Code-Execution erreichen. Der Angriff erfordert nur Netzwerkzugriff auf den JSONWS-Endpunkt und keine Authentifizierung. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U) bestatigt die unkomplizierte Natur des Exploits.
Häufig gestellte Fragen
Wird CVE-2020-7961 aktiv ausgenutzt?
Ja. CVE-2020-7961 wurde aktiv in freier Wildbahn ausgenutzt, insbesondere durch die FreakOut-Botnet-Kampagne, die von Check Point Research dokumentiert wurde. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities Katalog aufgefuhrt. Mehrere offentliche Exploits sind verfugbar, was diese Schwachstelle fur ein breites Spektrum von Bedrohungsakteuren zuganglich macht.
Welche Produkte sind von CVE-2020-7961 betroffen?
Liferay-Portal-Versionen vor 7.2.1 CE GA2 sind betroffen. Die Schwachstelle existiert speziell im JSON Web Services (JSONWS) Endpunkt, der in Liferay-Portal-Installationen standardmassig aktiviert ist.
Wie behebe ich CVE-2020-7961?
Aktualisieren Sie Liferay Portal auf Version 7.2.1 CE GA2 oder hoher. Schranken Sie zusatzlich den Netzwerkzugriff auf den /api/jsonws-Endpunkt ein, implementieren Sie Java-Deserialisierungsfilter und uberprufen Sie Server-Logs auf Anzeichen einer Ausnutzung.
Wie schwerwiegend ist CVE-2020-7961?
Mit einem CVSS-Score von 9,8 (Kritisch) ist CVE-2020-7961 ausserst schwerwiegend. Es ermoglicht nicht authentifizierten Remote-Angreifern, beliebigen Code auf dem Liferay-Portal-Server auszufuhren, was potenziell zu einer vollstandigen Systemkompromittierung fuhren kann. Der EPSS-Score von 0,943 platziert sie im 99,9. Perzentil fur die Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.