CVE-2025-10155

Picklescan przed wersją 1.0.3 zawiera lukę w funkcji scan_pytorch, która pozwala atakującym na obejście skanowania. Dzięki wykorzystaniu dynamicznego eval i triku __reduce__, mogą oni osadzić złośliwe numery magiczne w ładunkach PyTorch, które omijają detekcję picklescan.

Picklescan w wersjach przed 0.0.35 zawiera podatność na niebezpieczną deserializację pickle, która pozwala nieautoryzowanym atakującym na odczyt dowolnych plików serwera poprzez łańczenie io.FileIO i urllib.request.urlopen.

Picklescan przed wersją 1.0.4 nie blokuje przynajmniej siedmiu modułów standardowej biblioteki Pythona, co umożliwia zdalne wykonanie kodu. Atakujący mogą stworzyć złośliwe pliki pickle, które importują te nieblokowane moduły, omijając walidację bezpieczeństwa picklescan.

Picklescan przed wersją 1.0.1 zawiera podatność na niebezpieczną deserializację, która pozwala nieautoryzowanym użytkownikom na wykonanie dowolnego kodu poprzez ukrywanie wywołań eval w obiektach wywoływalnych za pomocą getattr. Atakujący mogą osadzić złośliwy kod w plikach pickle, który unika wykrycia, ale wykonuje się po załadowaniu pickle z nieufnych źródeł.

Picklescan w wersjach przed 1.0.4 zawiera niekompletną listę blokowania dla modułu profilu, co pozwala na wykonanie dowolnego kodu przez atakujących za pomocą funkcji exec(). Atakujący mogą stworzyć złośliwe pliki pickle, które wywołują profile.run(statement), co prowadzi do wykonania dowolnego kodu Pythona.

Picklescan w wersjach przed 1.0.4 nie blokuje pkgutil.resolve_name, co pozwala atakującym na obejście całej listy blokad poprzez pośrednie wywołania REDUCE. Atakujący mogą wywołać dowolną zablokowaną funkcję, co prowadzi do zdalnego wykonania kodu.

Picklescan przed wersją 0.0.27 zawiera błąd w logice analizy w funkcji _list_globals, który występuje podczas obsługi opcode'ów STACK_GLOBAL. Błąd ten pozwala złośliwym plikom pickle na ominięcie detekcji, co może prowadzić do nieoczekiwanych wyjątków.

Picklescan w wersjach przed 0.0.33 nie blokuje modułu ctypes, co umożliwia atakującym zdalne wykonanie kodu poprzez wywoływanie bezpośrednich syscalls i dostęp do surowej pamięci. Atakujący mogą stworzyć złośliwe pliki pickle, wykorzystując ctypes.WinDLL do załadowania kernel32.dll i wykonania dowolnych poleceń.

Picklescan przed wersją 0.0.33 zawiera podatność na dowolne zapisywanie plików, która pozwala atakującym na obejście niebezpiecznej listy blokad. Atakujący mogą skonstruować złośliwe obiekty pickle, aby nadpisać krytyczne pliki systemowe.

Picklescan w wersjach przed 0.0.33 zawiera niekompletną listę zablokowanych funkcji, co pozwala na ominięcie zabezpieczeń związanych z funkcjami pydoc.locate i operator.methodcaller. Atakujący mogą stworzyć złośliwe pliki pickle, które po deserializacji mogą prowadzić do wykonania dowolnego kodu.