🇰🇷 한글 설명
picklescan 0.0.30 미만 버전에서 pickle 파일의 reduce 메서드 내 cProfile.runctx 함수 호출을 감지하지 못하는 취약점이 발견되었습니다. 공격자는 이를 악용하여 악성 pickle 파일을 생성하고, 사용자가 이를 로드할 때 임의의 코드를 실행하도록 유도할 수 있습니다.
💡 쉬운 설명
보안 검사 도구가 특정 방식의 악성 코드를 찾아내지 못하는 결함이 있습니다. 해커가 만든 가짜 파일을 실행하면 컴퓨터가 해커의 명령을 마음대로 수행할 수 있습니다.
🇺🇸 원문 (English)
picklescan before 0.0.30 fails to detect cProfile.runctx function calls in pickle file reduce methods, allowing attackers to execute arbitrary code. Malicious pickle files bypass picklescan detection and execute remote code when loaded via pickle.load().
📍 영향받는 시스템
picklescan version < 0.0.30
⚔️ 공격 벡터
악성 cProfile.runctx 호출이 포함된 pickle 파일을 통해 원격 코드 실행(RCE) 유도
🛡️ 대응 방법
picklescan을 0.0.30 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.0.30보다 낮으면 취약한 상태입니다.
pip show picklescan | grep Version