Er is een kritieke kwetsbaarheid ontdekt in de Liferay Portal en DXP, bekend als CVE-2025-43764. Deze kwetsbaarheid maakt het mogelijk voor geauthenticeerde gebruikers met bepaalde rechten om een kwaadaardig regex-patroon in te voeren. Dit kan resulteren in een zeer lange vertraging terwijl de browser vastloopt. Dit legt aanzienlijke risico’s bloot, vooral voor systemen die draaien op Liferay Portal 7.4.3.131 en eerder, of Liferay DXP versies binnen de reeksen vermeld in de kwetsbaarheid.
De specifieke kwetsbaarheid betreft een Self-ReDoS (Regular expression Denial of Service) binnen het Kaleo Designer-portlet van Liferay’s JavaScript. Het CVSS-scoringssysteem classificeert deze kwetsbaarheid als ‘Medium’ met een basis-score van 6.9. Ondanks de hoge ernstgraad vereist het gebruik van dit lek een hoog niveau van privileges.
Overzicht
Liferay heeft meerdere versies van hun Portal en DXP geïdentificeerd als kwetsbaar. De kwetsbaarheid maakt ongeoorloofd gebruik van inefficiënte reguliere expressies mogelijk, hetgeen kan leiden tot systeemuitval door een zogenaamde Self-ReDoS-aanval in het zoekveld van Kaleo Designer.
Aanbevelingen
- Bijwerken naar een versienummer hoger dan Liferay Portal 7.4.3.131 en DXP, zoals aangegeven door Liferay’s veiligheidsadviezen.
- Het scannen van systemen op deze specifieke CVE en controleren op bestaande exploits.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-43764?
CVE-2025-43764 is een Self-ReDoS-kwetsbaarheid die opduikt in Liferay’s Kaleo Designer, waardoor de browser zichzelf kan vastlopen door een inefficiënt regex-patroon.
Welke systemen zijn kwetsbaar voor CVE-2025-43764?
De getroffen systemen zijn Liferay Portal 7.4.0 tot 7.4.3.131 en Liferay DXP voor de versies gespecificeerd in de officieel gepubliceerde adviezen.
Bestaat er al een patch of beveiligingsupdate?
Ja, Liferay heeft patches uitgebracht voor recentere versies. Het is cruciaal om bij te werken naar versies boven de kwetsbare reeksen voor volledige beveiliging.
Wat kan een aanvaller met deze kwetsbaarheid?
Met deze kwetsbaarheid kunnen aanvallers de server prestaties ernstig verlagen door gebruik te maken van inefficiënte regular expressions, wat kan resulteren in verhoogde downtime en mogelijk verlies van gegevensintegriteit.
Wees waakzaam: terwijl de impact in deze gevallen vaak tot vertraging beperkt blijft, kan het ontbreken van een oplossing onnodig risico betekenen voor uw gegevens en operaties.
