🇰🇷 한글 설명
picklescan 0.0.33 이전 버전은 pydoc.locate 및 operator.methodcaller 함수를 차단하지 못하는 불완전한 차단 목록을 포함하고 있습니다. 공격자는 이 함수들을 사용하여 보안 검사를 우회하고 악성 피클 파일을 생성함으로써 역직렬화 과정에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 특정 위험한 명령어를 놓치는 허점이 발견되었습니다. 해커가 이 허점을 이용해 특수하게 제작된 파일을 보내면 컴퓨터가 해커의 명령을 마음대로 실행할 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.33 contains an incomplete deny-list that fails to block pydoc.locate and operator.methodcaller functions, allowing attackers to bypass security checks. Remote attackers can craft malicious pickle files using these unblocked functions to achieve arbitrary code execution when the pickle is deserialized.
📍 영향받는 시스템
picklescan version < 0.0.33
⚔️ 공격 벡터
악성 함수(pydoc.locate, operator.methodcaller)가 포함된 피클 파일을 통한 원격 코드 실행
🛡️ 대응 방법
picklescan을 0.0.33 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.33 미만이면 취약한 상태입니다.
pip show picklescan 2>/dev/null | grep Version