🇰🇷 한글 설명
Python 피클링 디컴파일러 및 정적 분석 도구인 Fickling의 0.1.6 미만 버전에서 보안 취약점이 발견되었습니다. 특정 모듈이 차단 목록에서 누락되어 공격자가 악성 피클 파일을 통해 탐지를 우회하고 임의 코드를 실행할 수 있습니다. 이 문제는 0.1.6 버전에서 수정되었습니다.
💡 쉬운 설명
파일의 안전성을 검사하는 도구가 특정 위험한 명령어를 놓치는 결함이 있습니다. 공격자가 이 결함을 이용해 검사를 통과하는 가짜 안전 파일을 만들면, 사용자의 컴퓨터에서 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Fickling is a Python pickling decompiler and static analyzer. Versions prior to 0.1.6 are missing `marshal` and `types` from the block list of unsafe module imports. Fickling started blocking both modules to address this issue. This allows an attacker to craft a malicious pickle file that can bypass fickling since it misses detections for `types.FunctionType` and `marshal.loads`. A user who deserializes such a file, believing it to be safe, would inadvertently execute arbitrary code on their system. This impacts any user or system that uses Fickling to vet pickle files for security issues. The issue was fixed in version 0.1.6.
📍 영향받는 시스템
Fickling versions prior to 0.1.6
⚔️ 공격 벡터
탐지를 우회하도록 설계된 악성 피클 파일을 사용하여 사용자 시스템에서 임의 코드 실행
🛡️ 대응 방법
Fickling을 0.1.6 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.1.6보다 낮은지 확인하십시오.
pip show fickling 2>/dev/null | grep Version