CVE-2026-118938
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece fickling (do wersji 0.1.12) polega na tym, że operacja STACK_GLOBAL z kropkowaną nazwą __qualname__ (np. "Values.read_file") jest rozwiązywana przez pickle.find_class do dowolnej ścieżki atrybutu, a nie do funkcji na poziomie modułu. Fickling śledzi tylko pierwszy człon nazwy i wyświetla operację jako zwykły import, przez co końcowe odwołanie do atrybutu nie jest analizowane jako wywołanie. W efekcie analiza OvertlyBadEvals nie wykrywa zagrożenia, a check_safety() zwraca LIKELY_SAFE z zerową liczbą ustaleń, co pozwala atakującemu na osiągnięcie metody klasy wykonującej kod (optparse.Values.read_file uruchamia exec(open(filename).read(), vars)) i uzyskanie dowolnego wykonania kodu przy ładowaniu spreparowanego pickla przez fickling.load().
Ocena ryzyka
Organizacja korzystająca z fickling.load() jako bramy bezpieczeństwa przed pickle.loads() może zostać oszukana przez spreparowany pickle, który zostanie uznany za bezpieczny, co prowadzi do zdalnego wykonania kodu w kontekście procesu ładującego. Ryzyko jest wysokie, ponieważ optparse jest obecny we wszystkich aktualnych wydaniach CPython 3.x, a wektor pozostaje niezałatany nawet na gałęzi master dostawcy.
Rekomendacja
Zaktualizować fickling do wersji zawierającej poprawkę rozwiązującą i flagującą kropkowane ścieżki atrybutów (lub zastosować własną walidację nazw STACK_GLOBAL) oraz nie polegać wyłącznie na check_safety() jako bramie bezpieczeństwa. Do czasu dostępności poprawki rozważyć ograniczenie zaufania do danych pickle i stosowanie dodatkowych mechanizmów izolacji.
Inne podatności w fickling
Zobacz wszystkie- CVE-2026-22612Wysokie
Fickling, narzędzie do dekompilacji i analizy statycznej plików pickle w Pythonie, przed wersją 0.1.7 zawiera podatność umożliwiającą obejście wykrywania złośliwego kodu. Problem wynika z braku analizy obiektów typu 'builtins' i został naprawiony w wersji 0.1.7.
- CVE-2026-22609Wysokie
Fickling to dekompilator i statyczny analizator plików pickle w Pythonie. Przed wersją 0.1.7 metoda unsafe_imports() nie wykrywała kilku wysokiego ryzyka modułów Pythona, które mogą być użyte do wykonania dowolnego kodu. Złośliwe pliki pickle importujące te moduły nie były oznaczane jako niebezpieczne, co pozwalało atakującym ominąć główne statyczne kontrole bezpieczeństwa Ficklinga.
- CVE-2026-22608Wysokie
Fickling to dekompilator i statyczny analizator plików pickle w Pythonie. Przed wersją 0.1.7 nie blokował on jawnie modułów ctypes i pydoc, co w połączeniu z funkcją pydoc.locate umożliwia zdalne wykonanie kodu (RCE), podczas gdy skaner nadal raportuje plik jako LIKELY_SAFE. Problem został naprawiony w wersji 0.1.7.
- CVE-2026-22607Wysokie
Fickling w wersjach do 0.1.6 nie traktuje modułu cProfile Pythona jako niebezpiecznego. Złośliwy pickle wykorzystujący cProfile.run() jest klasyfikowany jako PODEJRZANY zamiast JAWNIE ZŁOŚLIWY, co może prowadzić do wykonania kodu atakującego.
- CVE-2026-22606Wysokie
Fickling w wersjach do 0.1.6 nie traktuje modułu runpy Pythona jako niebezpiecznego. Złośliwy pickle wykorzystujący runpy.run_path() lub runpy.run_module() jest klasyfikowany jako PODEJRZANY zamiast JAWNIE ZŁOŚLIWY. Może to prowadzić do wykonania kodu atakującego, jeśli użytkownik polega na wynikach Ficklinga przy deserializacji.
- CVE-2026-16760Wysokie
Biblioteka fickling w wersjach do 0.1.12 błędnie uznaje za bezpieczne wywołania funkcji pochodzących z modułów biblioteki standardowej Pythona, bez analizy ich rzeczywistego zachowania. W efekcie mechanizm check_safety() zwraca werdykt LIKELY_SAFE dla złośliwych payloadów pickle, które poprzez takie funkcje (np. dataclasses._create_fn, mailcap.findmatch, readline.write_history_file) prowadzą do wykonania dowolnego kodu lub zapisu plików. Ponieważ fickling.load() wykorzystuje ten werdykt jako bramkę bezpieczeństwa przed pickle.loads(), payload zostaje zdeserializowany i wykonany z uprawnieniami procesu ofiary.
- CVE-2026-14535Wysokie
W bibliotece fickling do wersji 0.1.11 włącznie, analiza UnsafeImportsML rejestruje skrócony kod każdego importu w współdzielonym zbiorze, co powoduje, że następująca analiza MLAllowlist pomija wszystkie sprawdzenia, uznając je za już zgłoszone. W rezultacie MLAllowlist staje się martwym kodem, a importy modułów spoza listy dozwolonych (np. torch, numpy) mogą być pominięte, prowadząc do fałszywie pozytywnego wyniku LIKELY_SAFE.
- CVE-2026-14534Wysokie
Podatność w bibliotece fickling do wersji 0.1.10 włącznie polega na braku modułów standardowej biblioteki Pythona (_posixsubprocess, site, atexit) na liście UNSAFE_IMPORTS. Powoduje to, że funkcja check_safety() błędnie klasyfikuje złośliwe ładunki pickle jako LIKELY_SAFE, co umożliwia ich deserializację i wykonanie niebezpiecznych funkcji, takich jak fork_exec, execsitecustomize czy _run_exitfuncs.
- CVE-2025-67748Wysokie
Fickling to dekompilator i statyczny analizator pickle w Pythonie. Wersje przed 0.1.6 miały obejście spowodowane brakiem `pty` na liście blokowanych niebezpiecznych importów modułów. To prowadziło do niebezpiecznych pickle opartych na `pty.spawn()` błędnie oznaczanych jako `LIKELY_SAFE`, a naprawiono to w wersji 0.1.6. Wpływało to na każdego użytkownika lub system, który używał Fickling do weryfikacji plików pickle pod kątem problemów bezpieczeństwa.
- CVE-2025-67747Wysokie
Fickling to dekompilator i statyczny analizator pickle w Pythonie. Wersje przed 0.1.6 nie mają `marshal` i `types` na liście blokowanych niebezpiecznych importów modułów. Fickling zaczął blokować oba moduły, aby rozwiązać ten problem. Pozwala to atakującemu na stworzenie złośliwego pliku pickle, który może ominąć fickling, ponieważ brakuje detekcji dla `types.FunctionType` i `marshal.loads`. Użytkownik, który deserializuje taki plik, wierząc, że jest bezpieczny, przypadkowo wykona dowolny kod na swoim systemie. Wpływa to na każdego użytkownika lub system, który używa Fickling do weryfikacji plików pickle pod kątem problemów bezpieczeństwa. Problem został naprawiony w wersji 0.1.6.
Oryginalny opis (angielski, źródło NVD)
In Trail of Bits fickling through 0.1.12, a pickle STACK_GLOBAL operand carrying a dotted __qualname__ (for example "Values.read_file") is resolved by pickle's find_class through _getattribute to an arbitrary attribute path rather than to a module-level function. Fickling records only the leading component of the name in its import tracking and renders the operation as a plain import (for instance, 'python -m fickling' displays it as 'from optparse import Values.read_file'), so the trailing attribute reference is never analyzed as a call. The OvertlyBadEvals analysis pass does not flag it, and check_safety() returns LIKELY_SAFE with zero findings. This allows an attacker to reach a class method that performs code execution: optparse.Values.read_file executes exec(open(filename).read(), vars), achieving arbitrary code execution when the crafted pickle is loaded through fickling.load(), which chains check_safety() into pickle.loads() as an explicit security gate. optparse is present in all current CPython 3.x releases (deprecated as of Python 3.13, not removed). This weakness is in the resolution and analysis of dotted attribute-path names, and is distinct from and independently fixable from the module-origin trust weakness tracked as CVE-2026-16760: resolving or flagging dotted attribute-path imports closes this vector while leaving the module-level trust behavior unchanged. This bypass was verified to remain present on the vendor master branch at commit d011709 as of 2026-10-30, after the vendor's October blocklist additions and a new heuristic that flags private stdlib attributes; because the public class method Values.read_file is neither blocklisted nor flagged as a private attribute, it is not addressed by those remediations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS