🇰🇷 한글 설명
pdfminer.six 라이브러리의 CMap 캐시 파일 로딩 메커니즘에서 불안전한 pickle 역직렬화 취약점이 존재합니다. 검증 없이 pickle 파일을 역직렬화하므로 악의적인 파일을 통해 임의 코드 실행 또는 권한 상승이 가능합니다.
💡 쉬운 설명
pdfminer.six 라이브러리가 파일을 신뢰성 검사 없이 읽고 실행합니다. 공격자가 악의적인 파일을 심으면 컴퓨터에서 원하는 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
pdfminer.six before 20251230 contains an insecure deserialization vulnerability in the CMap loading mechanism. The library uses Python pickle to deserialize CMap cache files without validation. An attacker with the ability to place a malicious pickle file in a location accessible to the application can trigger arbitrary code execution or privilege escalation when the file is loaded by a trusted process. This is caused by an incomplete patch to CVE-2025-64512.
📍 영향받는 시스템
pdfminer.six version 20251230 이전 모든 버전
⚔️ 공격 벡터
공격자가 애플리케이션이 접근 가능한 위치에 악의적인 pickle 파일을 배치하고 신뢰된 프로세스가 이를 로드할 때 실행
🛡️ 대응 방법
pdfminer.six를 최신 버전(20251230 이상)으로 업그레이드하거나 pip install --upgrade pdfminer.six 실행
🔧 검증 코드
출력된 버전 번호가 20251230 이상이면 패치됨, 그 이하면 업그레이드 필요
python3 -c "import importlib.metadata; print(importlib.metadata.version('pdfminer.six'))" 2>/dev/null