【CVE-2024-26272】Liferay Digital Experience PlatformとPortalに深刻な脆弱性、情報漏洩のリスクに早急な対応が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Liferay Digital Experience PlatformとPortalの脆弱性問題
Liferay製品の脆弱性詳細
クロスサイトリクエストフォージェリについて
Liferay製品の脆弱性に関する考察
参考サイト

記事の要約

Liferayの製品群にクロスサイトリクエストフォージェリの脆弱性
複数のバージョンで情報取得や改ざんのリスクが発生
ベンダーが提供するパッチで対策が必要

Liferay Digital Experience PlatformとPortalの脆弱性問題

Liferayは2024年10月22日、Digital Experience PlatformおよびLiferay Portalにクロスサイトリクエストフォージェリの脆弱性が存在することを公開した。影響を受けるバージョンはDigital Experience Platform 7.3、7.4、2023およびLiferay Portal 7.3.2から7.3.7、7.4.0以上7.4.3.108未満となっており、【CVE-2024-26272】として報告されている。^[1]

この脆弱性のCVSS v3による深刻度基本値は8.8と重要度が高く評価されており、攻撃元区分はネットワークで攻撃条件の複雑さは低いとされている。攻撃には特権レベルは不要だが利用者の関与が必要とされており、機密性や完全性、可用性への影響が高いことが指摘されている。

本脆弱性が悪用された場合、情報の取得や改ざん、サービス運用妨害などの被害が想定されている。ベンダーからはアドバイザリやパッチ情報が公開されており、影響を受けるバージョンを使用しているユーザーは速やかな対応が推奨されている。

Liferay製品の脆弱性詳細

項目	詳細
影響を受ける製品	Digital Experience Platform 7.3/7.4/2023、Liferay Portal 7.3.2-7.3.7/7.4.0-7.4.3.108未満
脆弱性の種類	クロスサイトリクエストフォージェリ(CWE-352)
CVSS基本値	8.8（重要）
想定される影響	情報取得、情報改ざん、サービス運用妨害(DoS)
対策方法	ベンダーが提供するパッチの適用

クロスサイトリクエストフォージェリについて

クロスサイトリクエストフォージェリとは、Webアプリケーションに対する攻撃手法の一つで、ユーザーの意図しない操作を強制的に実行させる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

正規ユーザーの権限を悪用した不正な操作が可能
ユーザーの認証情報を利用した攻撃が実行可能
Webサイトの重要な機能が悪用される危険性

今回のLiferay製品における脆弱性では、CVSSスコアが8.8と高く評価されており、攻撃条件の複雑さも低いことが指摘されている。また機密性や完全性、可用性への影響が高いとされており、情報の窃取や改ざん、サービス妨害など深刻な被害につながる可能性がある。

Liferay製品の脆弱性に関する考察

クロスサイトリクエストフォージェリの脆弱性が発見されたことで、Liferay製品の信頼性への影響が懸念される状況となっている。特にDigital Experience PlatformとPortalは企業の重要なシステム基盤として利用されることが多く、情報漏洩やサービス停止などの事態が発生した場合、業務への影響が深刻になる可能性が高いだろう。

今後は同様の脆弱性を防ぐため、開発段階でのセキュリティテストの強化やコードレビューの徹底が必要不可欠となってくる。また、製品のアップデート管理や脆弱性情報の監視体制を整備し、迅速なパッチ適用が可能な体制を構築することが重要になってくるだろう。

長期的には、セキュリティ機能の強化やユーザー認証の多要素化など、より堅牢なセキュリティ対策の実装が期待される。特にエンタープライズ向け製品として、インシデント発生時の影響を最小限に抑えるための機能拡充や、セキュリティ監視機能の追加などが望まれる状況だ。