🇰🇷 한글 설명
picklescan 0.0.33 이전 버전에서 reduce 메서드를 통해 numpy.f2py.crackfortran.myeval 함수를 호출하는 악성 피클 파일을 탐지하지 못하는 취약점이 발견되었습니다. 공격자는 탐지를 우회하는 악성 피클 파일을 제작하여 사용자가 이를 로드할 때 임의의 코드를 실행하고 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 교묘하게 숨겨진 악성 파일을 찾아내지 못하는 결함이 있습니다. 해커가 만든 파일을 열기만 해도 컴퓨터가 해커의 명령대로 움직일 수 있어 위험합니다.
🇺🇸 원문 (English)
picklescan before 0.0.33 fails to detect malicious pickle files that invoke numpy.f2py.crackfortran.myeval function through the reduce method. Attackers can craft malicious pickle files embedding arbitrary code that evades picklescan detection and executes remote code when loaded.
📍 영향받는 시스템
picklescan version < 0.0.33
⚔️ 공격 벡터
악성 코드가 포함된 특수하게 제작된 피클(pickle) 파일을 통해 공격자가 원격에서 코드를 실행함
🛡️ 대응 방법
picklescan을 0.0.33 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.0.33 미만이면 취약한 상태이며, 0.0.33 이상이면 안전합니다.
pip show picklescan | grep Version