Podatność w komponencie skanującym archiwa ZIP narzędzia mmaitre314 picklescan pozwala zdalnemu atakującemu na ominięcie kontroli bezpieczeństwa poprzez spreparowane archiwum ZIP z nieprawidłową sumą kontrolną CRC. Skutkiem jest możliwość dostarczenia złośliwego pliku pickle, który zostanie błędnie uznany za bezpieczny i po załadowaniu wykona dowolny kod.
▸ Pokaż oryginał (EN)
An Improper Handling of Exceptional Conditions vulnerability in the ZIP archive scanning component of mmaitre314 picklescan allows a remote attacker to bypass security scans. This is achieved by crafting a ZIP archive containing a file with a bad Cyclic Redundancy Check (CRC), which causes the scanner to halt and fail to analyze the contents for malicious pickle files. When the file incorrectly considered safe is loaded, it can lead to the execution of malicious code.
Atakujący tworzy archiwum ZIP zawierające plik z celowo uszkodzoną wartością CRC (Cyclic Redundancy Check). Gdy picklescan napotyka taki plik, jego komponent ZIP zatrzymuje przetwarzanie i nie analizuje zawartości archiwum pod kątem złośliwych plików pickle. Archiwum jest wówczas błędnie klasyfikowane jako bezpieczne. Gdy użytkownik lub system załaduje tak spreparowany plik, zawarty w nim złośliwy kod pickle zostaje wykonany.
Atakujący może doprowadzić do wykonania dowolnego kodu (RCE) na maszynie ofiary poprzez dostarczenie złośliwego pliku pickle ukrytego w archiwum ZIP, które scanner nieprawidłowo oznaczył jako bezpieczne.
Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły w komunikacie bezpieczeństwa GHSA-mjqp-26hc-grxg opublikowanym w repozytorium GitHub mmaitre314/picklescan.
mmaitre314 picklescan — wersje wskazane w referencjach producenta (odwołanie do pliku relaxed_zipfile.py w wersji v0.0.29 sugeruje podatność co najmniej do tej wersji włącznie)
Podatność dotyczy narzędzia bezpieczeństwa stosowanego do weryfikacji modeli ML (m.in. plików pytorch_model.bin). Ominięcie skanera pickle jest szczególnie istotne w środowiskach MLOps, gdzie modele pobierane są z zewnętrznych repozytoriów, takich jak Hugging Face.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XMmaitre314 Picklescan
APPMmaitre314< 0.0.31
Powiązane podatności
Obejście mechanizmu ochrony w Picklescan przez submoduły niebezpiecznych pakietów
Obejście skanowania plików pickle przez nieprawidłową walidację rozszerzeń PyTorch
picklescan before 0.0.30 fails to detect malicious pickle files using idlelib.pyshell.ModifiedInterpreter.runc...
picklescan before 0.0.28 fails to detect malicious pickle files that invoke torch.utils._config_module.load_co...
picklescan before 0.0.30 fails to detect cProfile.runctx function calls in pickle file reduce methods, allowin...