🇰🇷 한글 설명
Zope Object Database (ZODB) 3.8.2 이전 버전에서 ZEO 데이터베이스 공유 기능 활성화 시 발생하는 취약점으로, ZEO 네트워크 프로토콜의 인증 메커니즘이 부족하여 원격 공격자가 악의적인 Python 객체를 전송해 임의의 Python 코드를 실행할 수 있습니다.
💡 쉬운 설명
Zope 데이터베이스 서버에서 원격 공격자가 네트워크를 통해 악의적인 명령을 보내 서버를 제어할 수 있는 문제입니다. 데이터베이스 서버와 클라이언트 간 통신이 제대로 검증되지 않아 발생합니다.
🇺🇸 원문 (English)
Unspecified vulnerability in Zope Object Database (ZODB) before 3.8.2, when certain Zope Enterprise Objects (ZEO) database sharing is enabled, allows remote attackers to execute arbitrary Python code via vectors involving the ZEO network protocol.
📍 영향받는 시스템
ZODB (Zope Object Database) 3.8.2 이전 버전, ZEO 데이터베이스 공유 기능 활성화된 환경
⚔️ 공격 벡터
원격 공격자가 ZEO 네트워크 프로토콜 포트(기본값 8090)에 연결하여 pickle 직렬화된 악의적 Python 객체를 전송
🛡️ 대응 방법
ZODB를 3.8.2 이상으로 업그레이드 또는 ZEO 서버를 신뢰할 수 있는 네트워크로 제한하는 방화벽 정책 적용
🔧 검증 코드
버전이 3.8.2 이상이면 안전하고, 그 이하이거나 설치되지 않았으면 위험 상태입니다.
python -c "import ZODB; print('ZODB version: ' + ZODB.__version__)" 2>/dev/null || echo 'ZODB not installed'