🇰🇷 한글 설명
picklescan 0.0.33 미만 버전에서 numpy.f2py.crackfortran.param_eval 함수를 사용하는 reduce 메서드를 통해 악성 pickle 파일을 탐지하지 못하는 취약점이 발견되었습니다. 공격자는 이를 통해 보안 검사를 우회하고 역직렬화 과정에서 임의의 코드를 실행하여 시스템을 장악할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 교묘하게 숨겨진 악성 파일을 찾아내지 못하는 결함이 있습니다. 해커가 만든 파일을 프로그램이 읽는 순간, 해커가 원하는 명령어가 몰래 실행될 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.33 fails to detect malicious pickle files using numpy.f2py.crackfortran.param_eval function in reduce methods, allowing attackers to bypass security checks. Remote attackers can embed undetected code in pickle files that executes during deserialization, enabling arbitrary code execution in applications loading untrusted pickle data.
📍 영향받는 시스템
picklescan version < 0.0.33
⚔️ 공격 벡터
악성 코드가 포함된 pickle 파일을 신뢰할 수 없는 데이터로 전달하여 역직렬화 유도
🛡️ 대응 방법
picklescan을 0.0.33 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.0.33보다 낮으면 취약한 상태입니다.
pip show picklescan 2>/dev/null | grep Version