🇰🇷 한글 설명
picklescan 0.0.25 미만 버전에서 __reduce__ 메서드 내에 timeit.timeit()을 사용하는 악성 피클 파일을 탐지하지 못하는 취약점이 발견되었습니다. 공격자는 이를 통해 os 라이브러리 등을 호출하여 임의의 시스템 명령을 실행하는 원격 코드 실행(RCE) 공격을 수행할 수 있습니다.
💡 쉬운 설명
악성 코드가 숨겨진 파일을 검사 도구가 찾아내지 못하는 보안 구멍이 있습니다. 이 파일을 실행하면 해커가 내 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.25 fails to detect malicious pickle files that use timeit.timeit() in the __reduce__ method, allowing remote code execution. Attackers can craft pickle files that import dangerous libraries like os and execute arbitrary system commands, which evade picklescan detection and execute when pickle.load() is called.
📍 영향받는 시스템
picklescan version < 0.0.25
⚔️ 공격 벡터
악성 코드가 포함된 피클 파일을 생성하여 pickle.load()를 호출하는 시스템에 전달
🛡️ 대응 방법
picklescan을 0.0.25 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.25보다 낮으면 취약한 상태입니다.
pip show picklescan 2>/dev/null | grep Version