CVE-2020-7961 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Liferay Portal 存在**反序列化漏洞**（Deserialization of Untrusted Data）。 💥 **后果**：远程攻击者可通过 **JSON Web Services (JSONWS)** 执行**任意代码**。 ⚠️ **核心**：未经验证的数据被直接反序列化，导致服务器被控。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：**不信任数据的反序列化**。 📉 **CWE**：数据中未提供具体 CWE ID，但本质属于 **CWE-502** (反序列化不受信任的数据)。 🧠 **原因**：JSONWS 接口在处理输入时，未对对象类型进行严格校验，允许恶意构造的序列化对象被执行。
Q3影响谁？（版本/组件）
🏢 **厂商**：Liferay (美国)。 📦 **产品**：Liferay Portal。 📅 **受影响版本**：**7.2.1 CE GA2 之前**的所有版本。 🔧 **技术栈**：基于 J2EE，使用 EJB 及 JMS 技术。
Q4黑客能干啥？（权限/数据）
👑 **权限**：**远程任意代码执行 (RCE)**。 📂 **数据**：攻击者可完全控制服务器，读取/篡改/删除任何数据。 🌐 **范围**：无需本地访问，通过网络即可远程利用。 💣 **利用链**：通过 JSONWS 接口注入恶意 Payload。
Q5利用门槛高吗？（认证/配置）
📶 **认证**：数据未明确说明是否需要认证，但通常 JSONWS 部分接口可能暴露。 ⚙️ **配置**：利用门槛**中等**。 🛠️ **条件**：攻击者需知道目标使用 Liferay Portal 且版本低于 7.2.1 CE GA2。 🔑 **关键点**：直接通过 JSON 接口发送恶意序列化数据即可触发。
Q6有现成Exp吗？（PoC/在野利用）
📜 **PoC 存在**：✅ 是。 🔗 **来源**：GitHub 上有多个公开 PoC (如 `mzer0one/CVE-2020-7961-POC`, `thelostworldFree/CVE-2020-7961-payloads`)。 🛠️ **工具**：存在 GUI 工具 (`LifeRCEJsonWSTool`) 和 Golang 检测工具 (`GLiferay`)。…
Q7怎么自查？（特征/扫描）
🔎 **检测特征**： 1. 检查 HTTP 请求中是否包含 Liferay JSONWS 接口调用。 2. 扫描目标是否使用受影响版本的 Liferay Portal。 3. 使用 `GLiferay` 等专用工具进行自动化检测。 4. 监控日志中是否有异常的 Java 反序列化错误。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：✅ 已发布安全公告。 📌 **修复方案**：升级至 **Liferay Portal 7.2.1 CE GA2** 或更高版本。 📅 **发布时间**：2020-03-20 左右公布。 🔗 **参考**：Liferay 官方安全门户 (portal.liferay.dev)。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级版本**：最优先措施。 2. **网络隔离**：限制 JSONWS 接口的访问权限，仅允许信任 IP。 3. **WAF 规则**：拦截包含恶意序列化特征的 JSON 请求。 4. **禁用不必要服务**：如果不需要 JSONWS，考虑禁用相关模块。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。 ⏳ **紧急程度**：🚨 **立即行动**。 💡 **理由**： 1. 远程代码执行 (RCE)。 2. 已有公开 PoC 和自动化攻击工具。 3. 已被用于组建僵尸网络，在野利用活跃。 4. 影响版本广泛，老旧系统风险极大。