🇰🇷 한글 설명
Picklescan 0.0.25 미만 버전에서 Numpy 라이브러리의 안전하지 않은 전역 함수를 감지하지 못하는 취약점이 발견되었습니다. 공격자는 이를 악용하여 정적 분석을 우회하고 역직렬화 과정에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 Numpy 라이브러리에 숨겨진 위험한 명령어를 찾아내지 못하는 문제입니다. 해커가 조작된 파일을 보내면 컴퓨터가 파일을 읽는 과정에서 해커의 명령을 실행하게 됩니다.
🇺🇸 원문 (English)
Picklescan before 0.0.25 fails to detect unsafe global functions in the Numpy library, allowing attackers to bypass static analysis and execute arbitrary code during deserialization. Attackers can craft malicious pickle files using numpy.testing._private.utils.runstring within the reduce method to import dangerous libraries like os and execute arbitrary OS commands when the pickle file is loaded.
📍 영향받는 시스템
Picklescan < 0.0.25
⚔️ 공격 벡터
Numpy의 특정 함수를 이용해 조작된 pickle 파일을 생성하여 역직렬화 유도
🛡️ 대응 방법
Picklescan을 0.0.25 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.25 미만인지 확인하십시오.
pip show picklescan | grep Version