🇰🇷 한글 설명
picklescan 0.0.30 미만 버전에서 pickle reduce 메서드 내의 cProfile.run 함수 호출을 탐지하지 못하는 취약점이 발견되었습니다. 공격자는 cProfile.run 페이로드가 포함된 악성 pickle 파일을 제작하여 탐지를 우회하고 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 특정 명령어를 숨겨놓은 악성 파일을 찾아내지 못하는 결함이 있습니다. 이를 통해 해커가 몰래 나쁜 프로그램을 실행하도록 만들 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.30 fails to detect cProfile.run function calls in pickle reduce methods, allowing attackers to execute arbitrary code. Remote attackers can craft malicious pickle files with cProfile.run payloads that bypass picklescan detection and achieve code execution upon deserialization.
📍 영향받는 시스템
picklescan version < 0.0.30
⚔️ 공격 벡터
cProfile.run을 이용해 탐지를 우회하도록 설계된 악성 pickle 파일 전송 및 역직렬화 유도
🛡️ 대응 방법
picklescan을 0.0.30 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.30보다 낮은지 확인하십시오.
pip show picklescan 2>/dev/null | grep Version