🇰🇷 한글 설명
Odoo 8.0 및 Community/Enterprise Edition 9.0, 10.0의 데이터베이스 익명화 모듈에서 pickle 역직렬화 시 입력 검증이 부족하여, 원격 인증된 권한 있는 사용자가 임의의 Python 코드를 실행할 수 있습니다.
💡 쉬운 설명
Odoo의 데이터 익명화 기능에서 안전하지 않은 데이터 처리로 인해 관리자 권한 사용자가 악의적 코드를 실행할 수 있습니다. Pickle이라는 파이썬 직렬화 방식의 안전성 검증 부족이 원인입니다.
🇺🇸 원문 (English)
In Odoo 8.0, Odoo Community Edition 9.0 and 10.0, and Odoo Enterprise Edition 9.0 and 10.0, insecure handling of anonymization data in the Database Anonymization module allows remote authenticated privileged users to execute arbitrary Python code, because unpickle is used.
📍 영향받는 시스템
Odoo 8.0, Community Edition 9.0/10.0, Enterprise Edition 9.0/10.0
⚔️ 공격 벡터
데이터베이스 익명화 모듈을 통해 pickle로 인코딩된 악의적 객체를 제출하여 Python 코드 실행
🛡️ 대응 방법
Odoo를 보안 패치가 적용된 최신 버전으로 업그레이드하거나 익명화 모듈 비활성화
🔧 검증 코드
설치된 Odoo의 버전을 확인하여 8.0, 9.0, 10.0 중 해당 버전이 있으면 취약상태입니다.
pip show odoo 2>/dev/null | grep Version || echo 'Odoo not found'