„`html
Zusammenfassung
CVE-2025-71341 ist eine Sicherheitslücke in picklescan vor Version 0.0.29, die es Angreifern ermöglicht, schädlichen Code in Pickle-Dateien einzubetten, ohne von der Analyse-Engine erkannt zu werden. Die Lücke hat einen CVSS-Score von 8.1 und wird als High-Severity eingestuft. Remote Code Execution (RCE) ist möglich, wenn betroffene Pickle-Dateien geladen werden.
Betroffene Systeme
Betroffen sind picklescan-Versionen vor 0.0.29. Die Schwachstelle betrifft alle Systeme, die picklescan fĂĽr die statische Analyse von Pickle-Dateien einsetzen, insbesondere in Python-Umgebungen mit automatisierter Pickle-Deserialisierung. Keine offiziellen Patches sind derzeit verfĂĽgbar.
Technische Details
Die Schwachstelle liegt in der unzureichenden Erkennung der profile.Profile.runctx-Funktion während der statischen Analyse von Pickle-Dateien. Angreifer können diese Funktion in der reduce-Methode einbetten, um beliebigen Python-Code auszuführen.
Das Pickle-Format unterstützt die Reduktion von Objekten durch spezielle Funktionen. picklescan analysiert serialisierte Objekte auf potentiell gefährliche Operationen. Durch die Verwendung von profile.Profile.runctx, die nicht korrekt erkannt wird, können Angreifer die Sicherheitsprüfungen umgehen. Beim Deserialisieren der Datei wird der eingebettete Code mit den Berechtigungen des ausführenden Prozesses ausgeführt.
Empfohlene Massnahmen
Sofortmassnahmen:
- Aktualisierung auf picklescan 0.0.29 oder neuer durchfĂĽhren
- Deserialisierung von Pickle-Dateien aus untrusted Sources vermeiden oder streng validieren
- Pickle-Dateien nur aus vertrauenswĂĽrdigen Quellen akzeptieren
- Alternative Serialisierungsformate wie JSON evaluieren
- Systeme mit restriktiven Berechtigungen ausfĂĽhren
- Netzwerk-Segmentierung implementieren
Bewertung
CVSS v3.1 Score: 8.1 (High) | Network-basierter Angriffsvektor | Keine Benutzerinteraktion erforderlich | Hoher Integritäts- und Vertraulichkeitsverlust möglich. Diese Lücke erfordert sofortige Aufmerksamkeit in produktiven Umgebungen.
„`