CVE-2022-42131
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W produktach Liferay wykryto brak walidacji certyfikatów SSL w modułach REST dostawców danych Dynamic Data Mapping. Podatność dotyczy Liferay Portal 7.1.0 do 7.4.2 oraz Liferay DXP 7.1 przed fix pack 27, 7.2 przed fix pack 17 i 7.3 przed service pack 3.
Ocena ryzyka
Atakujący może przeprowadzić atak typu man-in-the-middle, przechwytując lub modyfikując dane przesyłane między systemem a zewnętrznymi źródłami danych REST, co może prowadzić do wycieku wrażliwych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Liferay Portal do wersji 7.4.3 lub nowszej, a dla Liferay DXP zastosowanie odpowiednich poprawek: fix pack 27 dla 7.1, fix pack 17 dla 7.2 lub service pack 3 dla 7.3.
Oryginalny opis (angielski, źródło NVD)
Certain Liferay products are affected by: Missing SSL Certificate Validation in the Dynamic Data Mapping module's REST data providers. This affects Liferay Portal 7.1.0 through 7.4.2 and Liferay DXP 7.1 before fix pack 27, 7.2 before fix pack 17, and 7.3 before service pack 3.