Liferay CE 7.0.3 GA4 — بحث في الثغرات (RAPTOR Loop-Hunt)

مراجعة أمنية لـ Liferay Portal CE 7.0.3 GA4 (وسم git 7.0.3-ga4، الالتزام b2d7cc68a) نُفذت بمنهجية RAPTOR loop-hunt: استطلاع حتمي → 25 وكيل توليد معزول يقرؤون المصدر الخام → 22 وكيل حكم مستقل يدحضون من المصدر الخام → 9 مدقّقين مباشرين يهاجمون نسخة GA4 حقيقية في Docker.

العنوان الرئيسي: RCE غير مصادَق عليه بصلاحيات root أُعيد إنتاجه من البداية إلى النهاية (من فئة CVE-2020-7961)، بالإضافة إلى 8 ثغرات إضافية تم التحقق منها مباشرةً — عدة منها بدون CVE معروف.

⚠️ قانوني/أخلاقي: كل ما هو هنا يستهدف نسخة اختبار مستضافة ذاتيًا. Liferay CE 7.0 في نهاية العمر (آخر إصدار 7.0.6 GA7، 2018)؛ هذه المشكلات غير مُصححة من upstream. استخدم هذه المواد فقط ضد أنظمة تملكها أو صرّح لك باختبارها صراحةً.

من المحتمل أنك تبحث عن https://github.com/dinosn/liferay-ga4-rce-research/blob/main/tools/liferay_ga4_check.py :)

النتائج في لمحة

الحالة: ✅ تم التحقق منها مباشرةً على نسخة Docker GA4 · 🔬 مؤكَّدة بالكود (وكيل حكم مستقل أعاد اشتقاق المسار الكامل من المصدر الخام) · 🧪 تتطلب إعدادات/مشروطة بالتهيئة.

القائمة الكاملة المنسقة مع حالات الرفض: FINDINGS.md · التقرير السردي: REPORT.md

الجديد مقابل المعروف — مقارنة CVE

كتالوج يضم ~50 مشكلة معروفة في Liferay 7.0.x استُخدم كأساس معرفي سابق: PRIOR-ART.md (OSV [email protected]، مسح NVD، نصائح Code White / CERT-EU).

"جديد" = لا يوجد CVE مطابق في نصائح OSV/NVD/Liferay حتى تاريخ 2026-07؛ النتائج لم تُقدَّم لتعيين CVE (خط المنتج في نهاية العمر).

CVEs معروفة مؤكَّد وجودها في GA4 لكن لم يُعَد اختبارها مباشرةً

CVE-2020-15840 (التفاف على مرشح URL بترميز مزدوج)، CVE-2024-8980 + CVE-2025-43748 (CSRF → RCE في وحدة تحكم السكربت)، CVE-2021-33335 (الاستيلاء على حساب مدير الشركة — GA4 هو الحد الأدنى للنطاق المتأثر)، CVE-2017-1000425 (XSS في flash.jsp)، CVE-2021-29040 (أخطاء JSONWS مفصلة)، CVE-2022-41414 / CVE-2023-33949 (إعدادات التعداد/التسجيل الافتراضية)، CVE-2025-62261 (رموز إعادة التعيين بنص صريح — NVD يسمي 7.0.3 GA4 مباشرةً). انظر PRIOR-ART.md.

العملية (RAPTOR loop-hunt)

السجل: TRIED.md (كل ما تمت محاولته، بما في ذلك 3 شرائح جافة موثقة) · INVENTORY.md (مقام التغطية) · البيئة/التجهيزات: ENV.md

إعادة الإنتاج محليًا باستخدام Docker

لا توجد صورة رسمية liferay/portal:7.0.3-ga4، لذا ابنِ من الحزمة الرسمية:

# Dockerfile
FROM openjdk:8-jdk
RUN apt-get update && apt-get install -y --no-install-recommends unzip curl \
 && rm -rf /var/lib/apt/lists/*
RUN curl -sSL -o /tmp/liferay.zip \
    "https://downloads.sourceforge.net/project/lportal/Liferay%20Portal/7.0.3%20GA4/liferay-ce-portal-tomcat-7.0-ga4-20170613175008905.zip" \
 && unzip -q /tmp/liferay.zip -d /opt \
 && mv /opt/liferay-ce-portal-7.0-ga4 /opt/liferay \
 && rm /tmp/liferay.zip
EXPOSE 8080 11311
CMD ["/opt/liferay/tomcat-8.0.32/bin/catalina.sh", "run"]

docker build -t liferay-ga4 .
docker run -d --name liferay-ga4 -p 8080:8080 liferay-ga4

# first boot takes several minutes — wait for it:
until [ "$(curl -s -o /dev/null -w '%{http_code}' http://localhost:8080/)" = 200 ]; do sleep 10; done

ثم أكمل معالج الإعداد لمرة واحدة في http://localhost:8080/ (قاعدة بيانات HSQL الافتراضية؛ المعالج يضبط كلمة مرور المدير لـ [email protected]).

تشغيل المدقّق في دفعة واحدة

tools/liferay_ga4_check.py هو سكربت Python 3 من ملف واحد، يعتمد على المكتبة القياسية فقط — وجّهه إلى أي نسخة GA4 وسيختبر كل اكتشاف تم التحقق منه مباشرةً:

# passive validation of all findings (safe, no payloads detonated)
python3 tools/liferay_ga4_check.py http://localhost:8080

# with an account (self-registration is on by default) for the poller sink test
python3 tools/liferay_ga4_check.py http://localhost:8080 --user [email protected] --password '***'

# full RCE proof (opt-in): drops a SELF-DELETING JSP via the deserialization file-write
# gadget and fetches the command output; adjust --web-root to your install
python3 tools/liferay_ga4_check.py http://localhost:8080 --rce \
    --web-root /opt/liferay/tomcat-8.0.32/webapps/ROOT

المخرجات المتوقعة مقابل تثبيت GA4 افتراضي: 9 اكتشافات VULNERABLE (F-1، F-1+RCE، F-2، F-4، F-5*، F-8، F-11، F-12، F-13*) بالإضافة إلى F-10 المؤكَّد أنه ليس ضعيفًا (حاجز النفق يصمد). *F-5 و F-13 يحتاجان معاملات تجهيز (--leg-uuid/--version-id، --wcd-page/--group-id/--article-id) — انظر --help.

أداة إلغاء التسلسل تُولَّد بلغة Python خالصة داخل السكربت (تم التحقق منها بايتًا-ببايت مقابل حمولة ysoserial AspectJWeaver المستخدمة في المهمة) — لا حاجة إلى Java أو jars أو ysoserial.

تم التحقق منها بصلابة (حتى تتمكن من معايرة الباقي)

تذاكر إعادة تعيين كلمة المرور (UUID 128-بت، لمرة واحدة، 24 ساعة)، تجديد الجلسة عند الدخول بالتذكرة، ملف تعريف الارتباط remember-me المشفر بـ AES-128 بمفتاح SecureRandom خاص بكل شركة، التجزئة الافتراضية PBKDF2، حزمة XML على مستوى البوابة (الكيانات الخارجية معطلة افتراضيًا)، بوابات digest في WebDAV/SharePoint، أقفال IP للمضيف المحلي في /api/axis|/api/liferay|/api/atom، التحقق من مسار الرفع، حراسات اجتياز المسار في /combo /sprite، تقييد omni-admin لوحدة تحكم السكربت وواجهة Gogo على الويب.

بيان التغطية والقيود

تم تتبع التغطية لكل مكوّن مقابل الجرد الكامل (TRIED.md). غير مغطى: تحليل دالة-بدالة على مستوى الشجرة الكاملة البالغة 4 غيغابايت (نقاط ارتكاز Semgrep فقط)، ومعظم modules/apps خارج foundation/web-experience على مستوى الملفات، والبحث في gadget الخاص بـ F-2، والاختبارات المباشرة بإعدادات غير افتراضية (F-9/F-14)، وإمكانية الوصول إلى CVE التبعية PDFBox 2.0.3. أُوقفت الحلقة لإعداد التقرير، وليس لأنها استنفدت.