Liferay CE 7.0.3 GA4 — Pesquisa de Vulnerabilidades (RAPTOR Loop-Hunt)

Uma auditoria de segurança do Liferay Portal CE 7.0.3 GA4 (git tag 7.0.3-ga4, commit b2d7cc68a) realizada com a metodologia RAPTOR loop-hunt: reconhecimento determinístico → 25 agentes geradores isolados lendo o código-fonte bruto → 22 agentes juízes independentes refutando a partir do código bruto → 9 validadores ao vivo atacando uma instância GA4 real no Docker.

Destaque: RCE não autenticado como root reproduzido de ponta a ponta (classe CVE-2020-7961), além de mais 8 vulnerabilidades verificadas ao vivo — várias delas sem CVE conhecido.

⚠️ Legal/ético: tudo aqui tem como alvo uma instância de teste auto-hospedada. O Liferay CE 7.0 está em fim de vida (última versão 7.0.6 GA7, 2018); esses problemas não têm correção upstream. Use este material apenas contra sistemas que você possui ou que está explicitamente autorizado a testar.

Você provavelmente está procurando por https://github.com/dinosn/liferay-ga4-rce-research/blob/main/tools/liferay_ga4_check.py :)

Descobertas em resumo

Status: ✅ verificado ao vivo contra a instância GA4 no Docker · 🔬 confirmado por código (juiz independente re-derivou o rastreamento completo a partir do código-fonte bruto) · 🧪 requer/condicionado à configuração.

Lista completa curada com rejeições: FINDINGS.md · relatório narrativo: REPORT.md

Novos vs. conhecidos — comparação de CVEs

Catálogo de ~50 problemas conhecidos do Liferay 7.0.x usado como conhecimento prévio: PRIOR-ART.md (varredura OSV [email protected], varredura NVD, avisos da Code White / CERT-EU).

"Novo" = nenhum CVE correspondente localizado nos avisos OSV/NVD/Liferay até 2026-07; as descobertas não foram submetidas para atribuição de CVE (a linha de produto está em EOL).

CVEs conhecidos confirmados no GA4, mas não re-testados ao vivo

CVE-2020-15840 (bypass do filtro de URL com codificação dupla), CVE-2024-8980 + CVE-2025-43748 (CSRF → RCE no console de script), CVE-2021-33335 (tomada de conta de admin da empresa — o GA4 é o limite inferior da faixa afetada), CVE-2017-1000425 (XSS no flash.jsp), CVE-2021-29040 (erros JSONWS verbosos), CVE-2022-41414 / CVE-2023-33949 (padrões de enumeração/registro), CVE-2025-62261 (tokens de redefinição em texto puro — o NVD cita diretamente o 7.0.3 GA4). Veja PRIOR-ART.md.

O processo (RAPTOR loop-hunt)

Registro: TRIED.md (tudo o que foi tentado, incl. 3 fatias secas documentadas) · INVENTORY.md (denominador de cobertura) · ambiente/fixtures: ENV.md

Reproduza localmente com Docker

Não existe imagem oficial liferay/portal:7.0.3-ga4; portanto, crie a imagem a partir do bundle oficial:

# Dockerfile
FROM openjdk:8-jdk
RUN apt-get update && apt-get install -y --no-install-recommends unzip curl \
 && rm -rf /var/lib/apt/lists/*
RUN curl -sSL -o /tmp/liferay.zip \
    "https://downloads.sourceforge.net/project/lportal/Liferay%20Portal/7.0.3%20GA4/liferay-ce-portal-tomcat-7.0-ga4-20170613175008905.zip" \
 && unzip -q /tmp/liferay.zip -d /opt \
 && mv /opt/liferay-ce-portal-7.0-ga4 /opt/liferay \
 && rm /tmp/liferay.zip
EXPOSE 8080 11311
CMD ["/opt/liferay/tomcat-8.0.32/bin/catalina.sh", "run"]

docker build -t liferay-ga4 .
docker run -d --name liferay-ga4 -p 8080:8080 liferay-ga4

# first boot takes several minutes — wait for it:
until [ "$(curl -s -o /dev/null -w '%{http_code}' http://localhost:8080/)" = 200 ]; do sleep 10; done

Em seguida, conclua o assistente de configuração única em http://localhost:8080/ (banco HSQL padrão; o assistente define a senha de administrador para [email protected]).

Execute o validador de uma vez só

tools/liferay_ga4_check.py é um script Python 3 de arquivo único, apenas com stdlib — aponte-o para qualquer instância GA4 e ele testa todas as descobertas verificadas ao vivo:

# passive validation of all findings (safe, no payloads detonated)
python3 tools/liferay_ga4_check.py http://localhost:8080

# with an account (self-registration is on by default) for the poller sink test
python3 tools/liferay_ga4_check.py http://localhost:8080 --user [email protected] --password '***'

# full RCE proof (opt-in): drops a SELF-DELETING JSP via the deserialization file-write
# gadget and fetches the command output; adjust --web-root to your install
python3 tools/liferay_ga4_check.py http://localhost:8080 --rce \
    --web-root /opt/liferay/tomcat-8.0.32/webapps/ROOT

Saída esperada em uma instalação GA4 padrão: 9 descobertas VULNERABLE (F-1, F-1+RCE, F-2, F-4, F-5*, F-8, F-11, F-12, F-13*) além da F-10 confirmada não vulnerável (a barreira do tunnel se mantém). *F-5 e F-13 exigem parâmetros de fixture (--leg-uuid/--version-id, --wcd-page/--group-id/--article-id) — veja --help.

O gadget de desserialização é gerado em Python puro dentro do script (verificado byte a byte contra o payload AspectJWeaver do ysoserial usado no engajamento) — sem necessidade de Java, jars ou ysoserial.

Verificado como sólido (para você calibrar o restante)

Tickets de redefinição de senha (UUID de 128 bits, uso único, 24 h), renovação de sessão no login por ticket, cookie remember-me AES-128 com chave SecureRandom por empresa, hash PBKDF2 padrão, a pilha XML de todo o portal (entidades externas desabilitadas por padrão), gates de digest do WebDAV/SharePoint, bloqueios de IP localhost em /api/axis|/api/liferay|/api/atom, validação de caminho de upload, proteções contra traversal em /combo /sprite, gating de omni-admin no console de script e na UI web do Gogo.

Declaração de cobertura e limitações

A cobertura foi rastreada por componente contra o inventário completo (TRIED.md). Não cobertos: análise função por função em toda a árvore de 4 GB (apenas âncoras Semgrep), a maior parte de modules/apps fora de foundation/web-experience em nível de arquivo, a pesquisa de gadget do F-2, testes ao vivo com configuração não padrão (F-9/F-14) e a alcançabilidade de CVEs da dependência PDFBox 2.0.3. O loop foi pausado para o relatório, não porque se esgotou.