🇰🇷 한글 설명
Fickling은 Python 피클링 디컴파일러 및 정적 분석기입니다. 버전 0.1.7 이전에는 Fickling의 정적 분석기에서 unsafe_imports() 메서드가 임의의 코드 실행에 사용될 수 있는 여러 고위험 Python 모듈을 표시하지 못합니다. 이러한 모듈을 가져오는 악의적인 피클은 안전하지 않은 것으로 감지되지 않으며 공격자가 Fickling의 주요 정적 안전성 검사를 우회할 수 있습니다. 이 문제는 버전 0.1.7에서 수정되었습니다.
💡 쉬운 설명
Fickling의 취약점으로 인해 악의적인 피클 파일을 통해 임의의 코드가 실행될 수 있습니다. 이는 Fickling의 안전성 검사를 우회할 수 있습니다. 버전 0.1.7로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Fickling is a Python pickling decompiler and static analyzer. Prior to version 0.1.7, the unsafe_imports() method in Fickling's static analyzer fails to flag several high-risk Python modules that can be used for arbitrary code execution. Malicious pickles importing these modules will not be detected as unsafe, allowing attackers to bypass Fickling's primary static safety checks. This issue has been patched in version 0.1.7.
📍 영향받는 시스템
Fickling 버전 0.1.7 이전
⚔️ 공격 벡터
악의적인 피클 파일을 통해 임의의 코드 실행
🛡️ 대응 방법
Fickling을 버전 0.1.7 이상으로 업데이트합니다.
🔧 검증 코드
이 코드는 Python에서 실행하며, Fickling의 버전을 확인하여 취약점 여부를 판단합니다. Python이 설치되어 있고, Fickling이 설치된 환경에서 실행해야 합니다.
import pkg_resources
try:
version = pkg_resources.get_distribution('fickling').version
if version < '0.1.7':
print({"result": "취약", "reason": "Fickling 버전이 0.1.7 미만입니다."})
else:
print({"result": "양호", "reason": "Fickling 버전이 0.1.7 이상입니다."})
except pkg_resources.DistributionNotFound:
print({"result": "미설치", "reason": "Fickling이 설치되어 있지 않습니다."})