🇰🇷 한글 설명
picklescan 0.0.29 미만 버전에서 idlelib.debugobj.ObjectTreeItem.SetText 함수를 악용하는 악성 pickle 파일을 탐지하지 못하는 취약점이 발견되었습니다. 공격자는 탐지를 우회하는 코드가 포함된 pickle 파일을 제작할 수 있으며, 사용자가 pickle.load()를 호출할 때 임의의 명령어가 실행될 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 악성 코드가 숨겨진 파일을 찾아내지 못하는 결함이 있습니다. 이 파일을 열면 해커가 의도한 명령이 컴퓨터에서 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.29 fails to detect malicious pickle files that exploit idlelib.debugobj.ObjectTreeItem.SetText function in reduce methods. Attackers can craft pickle files with embedded code that bypasses picklescan detection and executes arbitrary commands when pickle.load() is called.
📍 영향받는 시스템
picklescan version < 0.0.29
⚔️ 공격 벡터
악성 코드가 삽입된 pickle 파일을 통해 사용자가 pickle.load()를 실행하도록 유도
🛡️ 대응 방법
picklescan을 0.0.29 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.29보다 낮으면 취약한 상태입니다.
pip show picklescan 2>/dev/null | grep Version