labbench 피클 파일 자동 로드로 원격 코드 실행 가능
파이썬 실험 도구에 나쁜 파일을 열면 PC를 해킹당할 수 있습니다.
요약
labbench는 파이썬 실험 자료 처리 라이브러리입니다. 조작된 .p 또는 .pickle 파일을 read()나 read_relational()으로 불러오면 공격자가 임의의 코드를 실행할 수 있습니다.
해당 조건
- 사용자가 조작된 .p 또는 .pickle 파일을 read() 또는 read_relational()으로 불러오는 경우
대처법
0.46.1 이상으로 업데이트하세요. 0.46.1부터는 LABBENCH_AUTOLOAD_PICKLE 환경 변수를 설정하지 않으면 .p/.pickle 파일을 불러오지 않습니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인