Liferay CE 7.0.3 GA4 — 취약점 연구 (RAPTOR Loop-Hunt)

Liferay Portal CE 7.0.3 GA4(git 태그 7.0.3-ga4, 커밋 b2d7cc68a)에 대해 RAPTOR loop-hunt 방법론으로 수행된 보안 감사: 결정적 정찰 → 25개의 격리된 생성 에이전트가 원시 소스 읽기 → 22개의 독립 판정 에이전트가 원시 소스로부터 반박 → 9개의 라이브 검증기가 Docker의 실제 GA4 인스턴스 공격.

핵심 소식: root 권한의 인증 없는 RCE(CVE-2020-7961 계열)가 엔드투엔드로 재현되었으며, 라이브 검증된 취약점 8건 추가 확인 — 그중 여러 건은 알려진 CVE가 없습니다.

⚠️ 법적/윤리적 고지: 여기의 모든 내용은 자체 호스팅 테스트 인스턴스를 대상으로 합니다. Liferay CE 7.0은 수명 종료(EOL) 상태이며(마지막 릴리스 7.0.6 GA7, 2018), 이러한 문제는 업스트림에서 패치되지 않았습니다. 이 자료는 본인이 소유하거나 명시적으로 테스트 권한을 부여받은 시스템에만 사용하십시오.

아마도 https://github.com/dinosn/liferay-ga4-rce-research/blob/main/tools/liferay_ga4_check.py 를 찾고 계실 것입니다 :)

발견 사항 요약

상태: ✅ Docker GA4 인스턴스에 대해 라이브 검증됨 · 🔬 코드로 확인됨(독립 판정 에이전트가 원시 소스에서 전체 추적 경로를 재도출) · 🧪 추가 검증 필요/구성 조건부.

거부된 항목을 포함한 전체 큐레이션 목록: FINDINGS.md · 상세 보고서: REPORT.md

신규 vs. 기존 — CVE 비교

선행 연구로 사용된 약 50개의 알려진 Liferay 7.0.x 이슈 카탈로그: PRIOR-ART.md(OSV [email protected], NVD 조사, Code White / CERT-EU 권고).

"신규" = 2026년 7월 기준 OSV/NVD/Liferay 권고에서 일치하는 CVE를 찾지 못함; 발견 사항은 CVE 배정을 위해 제출되지 않았음(제품 라인이 EOL이기 때문).

GA4에 존재하는 것으로 확인되었으나 라이브로 재테스트되지 않은 알려진 CVE

CVE-2020-15840(이중 인코딩 URL 필터 우회), CVE-2024-8980 + CVE-2025-43748(CSRF → 스크립트 콘솔 RCE), CVE-2021-33335(회사 관리자 탈취 — GA4는 영향 범위의 하한), CVE-2017-1000425(flash.jsp XSS), CVE-2021-29040(상세 JSONWS 오류 메시지), CVE-2022-41414 / CVE-2023-33949(열거/등록 기본값), CVE-2025-62261(평문 재설정 토큰 — NVD가 7.0.3 GA4를 직접 명시). PRIOR-ART.md 참조.

프로세스 (RAPTOR loop-hunt)

원장: TRIED.md(시도한 모든 것, 문서화된 3개의 dry 슬라이스 포함) · INVENTORY.md(커버리지 분모) · 환경/픽스처: ENV.md

Docker로 로컬 재현

공식 liferay/portal:7.0.3-ga4 이미지가 없으므로 공식 번들에서 빌드합니다:

# Dockerfile
FROM openjdk:8-jdk
RUN apt-get update && apt-get install -y --no-install-recommends unzip curl \
 && rm -rf /var/lib/apt/lists/*
RUN curl -sSL -o /tmp/liferay.zip \
    "https://downloads.sourceforge.net/project/lportal/Liferay%20Portal/7.0.3%20GA4/liferay-ce-portal-tomcat-7.0-ga4-20170613175008905.zip" \
 && unzip -q /tmp/liferay.zip -d /opt \
 && mv /opt/liferay-ce-portal-7.0-ga4 /opt/liferay \
 && rm /tmp/liferay.zip
EXPOSE 8080 11311
CMD ["/opt/liferay/tomcat-8.0.32/bin/catalina.sh", "run"]

docker build -t liferay-ga4 .
docker run -d --name liferay-ga4 -p 8080:8080 liferay-ga4

# first boot takes several minutes — wait for it:
until [ "$(curl -s -o /dev/null -w '%{http_code}' http://localhost:8080/)" = 200 ]; do sleep 10; done

그런 다음 http://localhost:8080/에서 일회성 설정 마법사를 완료합니다(기본 HSQL DB; 마법사가 [email protected]의 관리자 비밀번호를 설정합니다).

원샷 검증기 실행

tools/liferay_ga4_check.py는 단일 파일, 표준 라이브러리만 사용하는 Python 3 스크립트입니다 — 임의의 GA4 인스턴스를 지정하면 라이브 검증된 모든 발견 사항을 테스트합니다:

# passive validation of all findings (safe, no payloads detonated)
python3 tools/liferay_ga4_check.py http://localhost:8080

# with an account (self-registration is on by default) for the poller sink test
python3 tools/liferay_ga4_check.py http://localhost:8080 --user [email protected] --password '***'

# full RCE proof (opt-in): drops a SELF-DELETING JSP via the deserialization file-write
# gadget and fetches the command output; adjust --web-root to your install
python3 tools/liferay_ga4_check.py http://localhost:8080 --rce \
    --web-root /opt/liferay/tomcat-8.0.32/webapps/ROOT

기본 GA4 설치에 대한 예상 출력: 9개 발견 사항 VULNERABLE(F-1, F-1+RCE, F-2, F-4, F-5*, F-8, F-11, F-12, F-13*) 및 F-10은 취약하지 않음으로 확인(터널 장벽 유지). *F-5와 F-13은 픽스처 파라미터(--leg-uuid/--version-id, --wcd-page/--group-id/--article-id)가 필요합니다 — --help 참조.

역직렬화 가젯은 스크립트 내부에서 순수 Python으로 생성됩니다(엔게이지먼트에서 사용된 ysoserial AspectJWeaver 페이로드와 바이트 단위 검증됨) — Java, jar, ysoserial이 필요 없습니다.

견고함이 검증된 부분 (나머지 결과를 보정하는 기준)

비밀번호 재설정 티켓(128비트 UUID, 일회용, 24시간), 티켓 로그인 시 세션 갱신, 회사별 SecureRandom 키를 사용한 remember-me 쿠키 AES-128, 기본 PBKDF2 해싱, 포털 전체 XML 스택(기본적으로 외부 엔티티 비활성화), WebDAV/SharePoint 다이제스트 게이트, /api/axis|/api/liferay|/api/atom localhost IP 잠금, 업로드 경로 검증, /combo /sprite 경로 탐색 방어, 스크립트 콘솔 및 Gogo 웹 UI의 옴니 관리자 게이팅.

커버리지 설명 및 한계

커버리지는 전체 인벤토리(TRIED.md)를 기준으로 컴포넌트별로 추적되었습니다. 미포함: 전체 4GB 트리에 대한 함수별 고도 분석(Semgrep 앵커만 해당), 파일 고도의 foundation/web-experience 외부 modules/apps 대부분, F-2 가젯 연구, 비기본 구성 라이브 테스트(F-9/F-14), PDFBox 2.0.3 의존성 CVE 도달 가능성. 루프는 고갈되어서가 아니라 보고를 위해 일시 중지되었습니다.