Liferay CE 7.0.3 GA4 — 漏洞研究（RAPTOR Loop-Hunt）

这是一次对 Liferay Portal CE 7.0.3 GA4（git 标签 7.0.3-ga4，提交 b2d7cc68a）的安全审计，采用 RAPTOR loop-hunt 方法论执行：确定性侦察 → 25 个隔离的生成 agent 阅读原始源码 → 22 个独立裁决 agent 基于原始源码进行驳斥 → 9 个实况验证器攻击 Docker 中的真实 GA4 实例。

头条： 以 root 身份的无认证 RCE 已端到端复现（CVE-2020-7961 类别），另有 8 个经实况验证的漏洞 —— 其中数个没有已知 CVE。

⚠️ 法律/伦理： 此处所有内容均针对自托管的测试实例。Liferay CE 7.0 已停止维护（EOL）（最后一个版本 7.0.6 GA7，2018 年）；这些问题上游未修补。仅可对你拥有或被明确授权测试的系统使用此材料。

你可能正在寻找 https://github.com/dinosn/liferay-ga4-rce-research/blob/main/tools/liferay_ga4_check.py :)

发现速览

状态：✅ 已在 Docker GA4 实例上实况验证 · 🔬 经代码确认（独立裁决 agent 从原始源码重新推导出完整链路） · 🧪 待实况验证/受配置门控

含驳回理由的完整精选清单：FINDINGS.md · 叙述性报告：REPORT.md

新发现 vs. 已知 — CVE 对比

用作既有知识的约 50 个已知 Liferay 7.0.x 问题目录：PRIOR-ART.md（OSV [email protected]、NVD 扫描、Code White / CERT-EU 公告）。

"新发现" = 截至 2026-07，在 OSV/NVD/Liferay 公告中未找到匹配的 CVE；这些发现尚未提交 CVE 编号申请（该产品线已停止维护（EOL））。

已确认在 GA4 中存在但未重新实况测试的已知 CVE

CVE-2020-15840（双重编码 URL 过滤器绕过）、CVE-2024-8980 + CVE-2025-43748（CSRF → 脚本控制台 RCE）、CVE-2021-33335（公司管理员接管——GA4 处于受影响区间的下限）、CVE-2017-1000425（flash.jsp XSS）、CVE-2021-29040（详细的 JSONWS 错误信息）、CVE-2022-41414 / CVE-2023-33949（枚举/注册默认值）、CVE-2025-62261（明文重置令牌——NVD 直接点名 7.0.3 GA4）。参见 PRIOR-ART.md。

流程（RAPTOR loop-hunt）

台账：TRIED.md（所有尝试，含 3 个已记录的空跑切片）· INVENTORY.md（覆盖率分母）· 环境/测试夹具：ENV.md

使用 Docker 在本地复现

没有官方的 liferay/portal:7.0.3-ga4 镜像，因此请从官方捆绑包构建：

# Dockerfile
FROM openjdk:8-jdk
RUN apt-get update && apt-get install -y --no-install-recommends unzip curl \
 && rm -rf /var/lib/apt/lists/*
RUN curl -sSL -o /tmp/liferay.zip \
    "https://downloads.sourceforge.net/project/lportal/Liferay%20Portal/7.0.3%20GA4/liferay-ce-portal-tomcat-7.0-ga4-20170613175008905.zip" \
 && unzip -q /tmp/liferay.zip -d /opt \
 && mv /opt/liferay-ce-portal-7.0-ga4 /opt/liferay \
 && rm /tmp/liferay.zip
EXPOSE 8080 11311
CMD ["/opt/liferay/tomcat-8.0.32/bin/catalina.sh", "run"]

docker build -t liferay-ga4 .
docker run -d --name liferay-ga4 -p 8080:8080 liferay-ga4

# first boot takes several minutes — wait for it:
until [ "$(curl -s -o /dev/null -w '%{http_code}' http://localhost:8080/)" = 200 ]; do sleep 10; done

然后在 http://localhost:8080/ 完成一次性设置向导（默认 HSQL 数据库；向导会为 [email protected] 设置管理员密码）。

运行一键验证器

tools/liferay_ga4_check.py 是一个单文件、仅使用标准库的 Python 3 脚本——只要将它指向任意 GA4 实例，它就会测试所有经实况验证的发现：

# passive validation of all findings (safe, no payloads detonated)
python3 tools/liferay_ga4_check.py http://localhost:8080

# with an account (self-registration is on by default) for the poller sink test
python3 tools/liferay_ga4_check.py http://localhost:8080 --user [email protected] --password '***'

# full RCE proof (opt-in): drops a SELF-DELETING JSP via the deserialization file-write
# gadget and fetches the command output; adjust --web-root to your install
python3 tools/liferay_ga4_check.py http://localhost:8080 --rce \
    --web-root /opt/liferay/tomcat-8.0.32/webapps/ROOT

针对默认 GA4 安装的预期输出：9 项发现为 VULNERABLE（易受攻击）（F-1、F-1+RCE、F-2、F-4、F-5*、F-8、F-11、F-12、F-13*），另有 F-10 确认为不易受攻击（隧道屏障有效）。*F-5 和 F-13 需要测试夹具参数（--leg-uuid/--version-id、--wcd-page/--group-id/--article-id）——参见 --help。

反序列化 gadget 在脚本内部以纯 Python 生成（已对照本次行动中使用的 ysoserial AspectJWeaver payload 进行字节级验证）——无需 Java、jar 包或 ysoserial。

已验证为稳固的部分（供你校准其余结论）

密码重置票据（128 位 UUID、一次性使用、24 小时）、票据登录时更新会话、使用每公司 SecureRandom 密钥的 AES-128 记住我 Cookie、默认 PBKDF2 哈希、门户全域 XML 栈（默认禁用外部实体）、WebDAV/SharePoint 摘要认证门禁、/api/axis|/api/liferay|/api/atom 的 localhost IP 锁定、上传路径验证、/combo /sprite 目录遍历防护、脚本控制台与 Gogo Web UI 的 omni-admin 门禁。

覆盖率声明与局限性

覆盖率已按组件对照完整清单进行追踪（TRIED.md）。未覆盖：整个 4 GB 代码树的逐函数级审查（仅依赖 Semgrep 锚点）、modules/apps 中 foundation/web-experience 之外大部分模块（仅文件级审查）、F-2 gadget 研究、非默认配置的实况测试（F-9/F-14）、以及 PDFBox 2.0.3 依赖 CVE 的可达性。循环是为了撰写报告而暂停，并非因为已无路可走。