Bootstrapからポータルを守るには：CVE-2019-8331の脆弱性

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• Liferay 7.0では、この脆弱性を持つBootstrapバーシオンを使用しています：
  • CVE-2019-8331 - tooltip または popover の data-template 属性で XSS が可能です。
    Bootstrap issue 20184 - data-target 属性に XSS があります。

Environment

• Liferay DXP 7.0

解決策

• AntiSamyと呼ばれるコンテンツをサニタイズするための公式のLiferayソリューションを有効にすることで、これらの脆弱性に対する保護を得ることができるはずです： AntiSamy.
• すべてのポートレットを完全に保護するためには、 の解決策として、 com.liferay.journal.model.JournalArticle のホワイトリストを解除することをお勧めします（他のすべてのポートレットはデフォルトでホワイトリストに登録済みです）。
• 行ってみてください：
  • コントロールパネル > コンフィグレーション > システム設定 > ファンデーション > アンチサミー・サニタイザー.
  • com.liferay.journal.model.JournalArticle をホワイトリストから削除しました。
• これが行われると、 Web Content ポートレットは、公開前にXSSをサニタイズし、悪意のあるコンテンツを許可しなくなります。
• ご注意ください:
  • この変更は、すでに公開されているコンテンツには適用されず、サニタイズするために再公開する必要があります。
  • これは、（サニタイズする必要がある場合）現在のコンテンツの自動修正を意味する可能性があります。

追加情報

• アンチサミー文書
• リンク先404エラーhttps://github.com/twbs/bootstrap/issues/28236