PT-2021-20106 · Liferay · Liferay Portal+1

Publicado 2021-08-03 · Atualizado 2022-05-24 · CVE-2021-33325

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Liferay Portal versões 7.3.2 e anteriores

Liferay DXP versões 7.0 anteriores ao fix pack 93

Liferay DXP versões 7.1 anteriores ao fix pack 19

Liferay DXP versões 7.2 anteriores ao fix pack 7

Descrição

A vulnerabilidade permite que invasores com acesso ao banco de dados obtenham a senha de um usuário se o fluxo de trabalho estiver habilitado para a criação de usuários. Isso ocorre porque as senhas dos usuários em texto simples são armazenadas no banco de dados.

Recomendações

Para as versões 7.3.2 e anteriores do Liferay Portal, atualize para uma versão em que a vulnerabilidade tenha sido corrigida.

Para as versões 7.0 do Liferay DXP anteriores ao fix pack 93, aplique o fix pack 93 ou posterior.

Para as versões 7.1 do Liferay DXP anteriores ao fix pack 19, aplique o fix pack 19 ou posterior.

Para as versões 7.2 do Liferay DXP anteriores ao fix pack 7, aplique o fix pack 7 ou posterior.

Correção

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-312

Identificadores relacionados

CVE-2021-33325

GHSA-6C88-GVXW-F5HG

Produtos afetados

Liferay Dxp

Liferay Portal

Referências · 7

• https://github.com/liferay/liferay-portal · Nota
• https://issues.liferay.com/browse/LPE-17042 · Aviso do Fabricante
• https://portal.liferay.dev/learn/security/known-vulnerabilities/-/asset_publisher/HbL5mxmVrnXW/content/id/120748389 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6c88-gvxw-f5hg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-33325 · Aviso do Fabricante
• https://t.me/cvenotify/19109 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-33325 · Nota de Segurança