CVE-2020-28885 および CVE-2020-28884

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• LiferayのCVE-2020-28885とCVE-2020-28884の脆弱性について知りたい。
  
  
• CVEは、管理者ユーザがGogo ShellモジュールとGroovyスクリプトを通してそれぞれコマンドを注入し、Liferayポータルサーバ上で任意のOSコマンドを実行できる脆弱性であると主張しています。

環境

• DXP 7.4

解像度

• CVE（CVE-2020-28885とCVE-2020-28884）はどちらも、一般的に管理者ユーザに関連するパーミッションと一致する意図的な動作を記述しています。
  
  
• Liferayは、管理者がGroovyスクリプトを実行するだけでなく、Gogo Shellにアクセスしてコマンドを実行することが許可されていることは想定内の機能であるため、これらは脆弱性ではないと主張している。 したがって、設計上の欠陥や脆弱性ではない。
• どちらも安全に無視することができるし、gogoシェルとgroovyスクリプトを無効にすることもできる。

追加情報:

• セキュリティ問題報告ポリシー、共通除外項目を参照のこと。