Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Liferay

Gestion du document

Référence	CERTFR-2023-AVI-0892
Titre	Multiples vulnérabilités dans les produits Liferay
Date de la première version	26 octobre 2023
Date de la dernière version	26 octobre 2023
Source(s)	Bulletin de sécurité Liferay cve-2023-42627 du 13 octobre 2023 Bulletin de sécurité Liferay cve-2023-42628 du 13 octobre 2023 Bulletin de sécurité Liferay cve-2023-42629 du 17 octobre 2023 Bulletin de sécurité Liferay cve-2023-44309 du 17 octobre 2023 Bulletin de sécurité Liferay cve-2023-44310 du 17 octobre 2023 Bulletin de sécurité Liferay cve-2023-44311 du 17 octobre 2023

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Injection de code indirecte à distance (XSS)

Systèmes affectés

Liferay DXP 7.0 fix pack 83 et postérieures
Liferay DXP 7.1 toutes versions
Liferay DXP 7.2 toutes versions
Liferay DXP 7.3 toutes versions
Liferay DXP 7.4 antérieures à 7.4 update 92
Liferay Portal versions 7.1.x à 7.4.x et antérieures à 7.4.3.92

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Liferay. Elles permettent à un attaquant de provoquer une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Liferay cve-2023-42627 du 13 octobre 2023
https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-42627
Bulletin de sécurité Liferay cve-2023-42628 du 13 octobre 2023
https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-42628
Bulletin de sécurité Liferay cve-2023-42629 du 17 octobre 2023
https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-42629
Bulletin de sécurité Liferay cve-2023-44309 du 17 octobre 2023
https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-44309
Bulletin de sécurité Liferay cve-2023-44310 du 17 octobre 2023
https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-44310
Bulletin de sécurité Liferay cve-2023-44311 du 17 octobre 2023
https://liferay.dev/portal/security/known-vulnerabilities/-/asset_publisher/jekt/content/cve-2023-44311
Référence CVE CVE-2023-42627
https://www.cve.org/CVERecord?id=CVE-2023-42627
Référence CVE CVE-2023-42628
https://www.cve.org/CVERecord?id=CVE-2023-42628
Référence CVE CVE-2023-42629
https://www.cve.org/CVERecord?id=CVE-2023-42629
Référence CVE CVE-2023-44309
https://www.cve.org/CVERecord?id=CVE-2023-44309
Référence CVE CVE-2023-44310
https://www.cve.org/CVERecord?id=CVE-2023-44310
Référence CVE CVE-2023-44311
https://www.cve.org/CVERecord?id=CVE-2023-44311

Gestion détaillée du document

Date	Description
26 octobre 2023	Version initiale