🇰🇷 한글 설명
picklescan 0.0.30 미만 버전에서 pickle 파일을 분석할 때 doctest.debug_script 함수를 감지하지 못하는 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 악성 pickle 파일을 생성함으로써, 파일이 로드될 때 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 특정 악성 코드를 찾아내지 못하는 허점이 발견되었습니다. 해커가 만든 특수한 파일을 열기만 해도 컴퓨터가 해커의 명령을 수행하게 될 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.30 fails to detect the doctest.debug_script function when analyzing pickle files, allowing attackers to execute arbitrary code. Remote attackers can craft malicious pickle files embedding doctest.debug_script calls that bypass picklescan detection and execute arbitrary commands upon pickle.load invocation.
📍 영향받는 시스템
picklescan version < 0.0.30
⚔️ 공격 벡터
악의적으로 조작된 pickle 파일을 전달하여 pickle.load() 함수를 호출하도록 유도
🛡️ 대응 방법
picklescan을 0.0.30 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.0.30 미만인지 확인
pip show picklescan 2>/dev/null | grep Version