🇰🇷 한글 설명
picklescan 0.0.28 미만 버전에서 pickle 파일 내의 torch.utils.bottleneck.__main__.run_cprofile 함수 호출을 탐지하지 못하는 취약점이 발견되었습니다. 공격자는 이를 악용하여 안전 검사를 우회하고 악성 코드를 삽입할 수 있으며, 사용자가 해당 파일을 로드할 경우 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
파일의 위험성을 검사하는 도구가 특정 악성 코드를 찾아내지 못하는 결함이 있습니다. 해커가 이 틈을 타서 위험한 파일을 정상적인 파일처럼 속여 사용자 컴퓨터에 침투할 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.28 fails to detect malicious torch.utils.bottleneck.__main__.run_cprofile function calls in pickle files, allowing attackers to bypass safety checks. Remote attackers can embed undetected code in pickle files to achieve arbitrary code execution when victims load the files.
📍 영향받는 시스템
picklescan version < 0.0.28
⚔️ 공격 벡터
악성 코드가 포함된 pickle 파일을 통해 사용자가 파일을 로드하도록 유도하여 원격 코드 실행
🛡️ 대응 방법
picklescan을 0.0.28 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.28보다 낮은지 확인하십시오.
pip show picklescan 2>/dev/null | grep Version