Fickling tiene una vulnerabilidad de Inyección de Código a través de pty.spawn()

La vulnerabilidad de deserialización en Fickling permite a un atacante inyectar código malicioso a través de un archivo pickle manipulado. Al evadir la heurística de variables no utilizadas, el código inyectado puede ser ejecutado con los privilegios del proceso Fickling. Esto podría resultar en la toma de control completa del sistema, la exfiltración de datos sensibles o la modificación de la configuración del sistema. La explotación exitosa requiere que el atacante pueda controlar el contenido del archivo pickle que se deserializa, lo que podría lograrse a través de la manipulación de archivos de entrada o la inyección de código en un entorno controlado.

Applications and systems that utilize Fickling to deserialize data from untrusted sources are at risk. This includes systems that process data from external APIs, user uploads, or other potentially malicious sources. Specifically, Python environments where Fickling is a dependency and where pickle deserialization is performed without proper validation are vulnerable.

• python / library:

import pickle
import sys

def check_fickling_version():
    import fickling
    return fickling.__version__

if check_fickling_version() <= '0.1.5':
    print("Vulnerability detected: Fickling version is vulnerable.")
else:
    print("Fickling version is patched.")

1. 2025-12-15Disclosure

   disclosure

1. Reservado2025-12-11
2. Publicada2025-12-15
3. Modificada2025-12-20
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Fickling a la versión 0.1.6 o superior, que incluye la corrección para evitar la evasión de la heurística. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a los archivos pickle que se procesan con Fickling, asegurándose de que solo se utilicen archivos de fuentes confiables. Además, se pueden implementar reglas en un Web Application Firewall (WAF) para bloquear el procesamiento de archivos pickle sospechosos. Verifique que la lista de bloqueos de módulos inseguros incluya pty.