CVE-2024-38002
— 神龙十问 AI 深度分析摘要
CVSS 9.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Liferay Portal/DXP 存在权限检查缺陷。
💥 **后果**：远程攻击者可修改工作流定义，进而 **执行任意代码**，彻底接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-862**：缺失或错误的授权。
📍 **缺陷点**：未正确检查 **用户权限**，导致认证用户越权操作核心配置。
Q3影响谁？（版本/组件）
🏢 **厂商**：Liferay。
📦 **产品**：Portal 和 DXP。
📅 **版本**：**7.4.0 至 7.**（数据截断，需检查具体小版本）。
Q4黑客能干啥？（权限/数据）
🔓 **权限**：利用 **无头API** 绕过限制。
📊 **数据**：可篡改 **工作流定义**。
💻 **行动**：最终实现 **任意代码执行 (RCE)**，获取最高控制权。
Q5利用门槛高吗？（认证/配置）
🔑 **认证**：需要 **远程认证用户** 身份（非完全匿名）。
⚙️ **配置**：利用无头API接口，门槛中等，但危害极大。
Q6有现成Exp吗？（PoC/在野利用）
📦 **PoC**：数据中 **pocs** 字段为空，暂无公开现成代码。
🌍 **在野**：未提及在野利用情况，需保持警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查**：检查是否运行 Liferay Portal/DXP 7.4.0+。
🛡️ **扫描**：重点监测对 **无头API** 的异常调用及工作流定义修改行为。
Q8官方修了吗？（补丁/缓解）
🩹 **补丁**：官方已发布安全公告（2024-10-22）。
📖 **参考**：请查阅 Liferay 官方安全页面获取最新修复版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：限制无头API访问权限。
🔒 **网络**：在防火墙层阻断对受影响API端点的未授权访问。
👥 **权限**：严格审查认证用户的操作权限。
Q10急不急？（优先级建议）
⚡ **优先级**：**极高**。
📉 **CVSS**：高分漏洞（C:H, I:H, A:H）。
🚀 **建议**：立即升级至安全版本，RCE风险不容小觑！