🇰🇷 한글 설명
picklescan 0.0.33 미만 버전에서 numpy.f2py.crackfortran 함수가 임의의 문자열에 대해 eval을 호출할 때 안전하지 않은 역직렬화를 탐지하지 못하는 취약점이 존재합니다. 공격자는 신뢰할 수 없는 소스에서 피클 파일을 로드할 때 실행되는 악성 코드를 파일에 삽입할 수 있습니다.
💡 쉬운 설명
데이터를 저장하고 불러오는 과정에서 검사 도구가 악성 코드를 걸러내지 못하는 문제입니다. 해커가 만든 파일을 열기만 해도 컴퓨터에서 몰래 나쁜 명령이 실행될 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.33 fails to detect unsafe deserialization when numpy.f2py.crackfortran functions call eval on arbitrary strings. Attackers can embed malicious code in pickle files that executes when loaded from untrusted sources.
📍 영향받는 시스템
picklescan version < 0.0.33
⚔️ 공격 벡터
악성 코드가 포함된 피클(pickle) 파일을 사용자에게 전달하여 로드하도록 유도
🛡️ 대응 방법
picklescan을 0.0.33 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.0.33보다 낮으면 취약한 상태입니다.
pip show picklescan | grep Version