🇰🇷 한글 설명
picklescan 1.0.4 미만 버전의 profile 모듈 차단 목록이 불완전하여 profile.run() 함수를 차단하지 못하는 취약점이 존재합니다. 공격자는 악의적인 pickle 파일을 통해 exec()를 호출함으로써 임의의 코드를 실행할 수 있으며, 이 과정에서 picklescan은 보안 문제를 감지하지 못합니다.
💡 쉬운 설명
보안 검사 도구가 특정 위험한 명령어를 놓치는 결함이 발견되었습니다. 해커가 특수하게 제작된 파일을 보내면 검사 도구가 안전하다고 판단하는 사이 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
picklescan before 1.0.4 contains an incomplete blocklist for the profile module that fails to block the module-level profile.run() function, allowing attackers to achieve arbitrary code execution via exec(). Attackers can craft malicious pickle files calling profile.run(statement) to execute arbitrary Python code while picklescan reports zero security issues.
📍 영향받는 시스템
picklescan version < 1.0.4
⚔️ 공격 벡터
악의적인 profile.run() 호출이 포함된 pickle 파일을 제공하여 임의 코드 실행
🛡️ 대응 방법
picklescan을 1.0.4 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.0.4 미만이면 취약한 상태입니다.
pip show picklescan | grep Version
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
picklescan 제품 보안 업데이트 권고
P3
📅 2026-08-06 · sec_notice
picklescan 제품에서 허용되지 않은 입력값 처리 미흡으로 인한 취약점이 발견되었습니다. 해당 제품의 1.0.4 미만 버전을 사용하는 사용자는 보안을 위해 최신 버전인 1.0.4 이상으로 업데이트하시기 바랍니다.