Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-502

CVE-2020-7961

Liferay Portal JSONWS üzerinden güvenli olmayan veri seri durumdan çıkarma açığı

Liferay Portal

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2412 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Liferay Portal'ın eski sürümlerindeki bu kritik açık, dışarıdan herhangi birinin sunucuyu ele geçirmesine izin verebilir. Açığın aktif olarak saldırılarda kullanıldığı bilindiği için acil önlem alınmalıdır. Güncelleme gecikmeden uygulanmalıdır.

ÖzetTürkçe

Liferay Portal'ın 7.2.1 CE GA2 öncesi sürümlerinde, JSON web servislerinde (JSONWS) güvenilmeyen verinin seri durumdan çıkarılması (deserialization) zafiyeti bulunuyor. Uzaktan, kimlik doğrulaması olmadan ve kullanıcı etkileşimi gerektirmeden istismar edilebiliyor. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor; yani gerçek saldırılarda kullanıldığı biliniyor. Etkilenen ürün Liferay Portal'dır.

Saldırgan ne yapabilir?

Uzaktan bir saldırgan, sunucuda kendi seçtiği kodu çalıştırabilir. Bu da sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Deserialization of Untrusted Data in Liferay Portal prior to 7.2.1 CE GA2 allows remote attackers to execute arbitrary code via JSON web services (JSONWS).

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Liferay Portal'ı 7.2.1 CE GA2 veya daha yeni bir sürüme yükseltin; zafiyet bu sürümün öncesindeki sürümleri etkiliyor. Genel öneri
  2. CISA'nın yönergesi uyarınca güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa JSON web servislerine (JSONWS) internetten erişimi güvenlik duvarı veya ters vekil sunucu ile kısıtlayın. Genel öneri
  4. Güncellemeden sonra sunucuda şüpheli işlem, dosya veya hesap olup olmadığını kontrol edin; açık daha önce istismar edilmiş olabilir. Genel öneri

Ek önlemler

  • Liferay yönetim ve API uç noktalarını yalnızca gerekli IP aralıklarına açın; mümkünse VPN arkasına alın. Genel öneri
  • JSONWS uç noktalarına gelen olağan dışı istekleri ve sunucuda beklenmeyen alt süreç oluşumunu günlüklerden izleyin. Genel öneri
  • Liferay'ı en az yetkiye sahip bir sistem hesabıyla çalıştırın ve sunucuyu ağ içinde diğer sistemlerden ayırın. Genel öneri
  • Üretici güvenlik duyurularını takip edin ve yamaları düzenli bir süreçle uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Liferay Portal Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.