CVE-2026-118938 in Fickling
Riassunto
di VulDB • 30/10/2026
In Fickling fino alla versione 0.1.12, un operando STACK_GLOBAL di pickle che trasporta un __qualname__ con punti (ad esempio "Values.read_file") viene risolto da find_class di pickle tramite _getattribute come un percorso arbitrario di attributi anziché come una funzione a livello di modulo. Fickling registra solo il componente iniziale del nome nel suo tracciamento delle importazioni e rende l'operazione come una semplice importazione (ad esempio, 'python -m fickling' la visualizza come 'from optparse import Values.read_file'), quindi il riferimento all'attributo finale non viene mai analizzato come chiamata. Il passaggio di analisi OvertlyBadEvals non lo segnala, e check_safety() restituisce LIKELY_SAFE con zero risultati. Ciò consente a un attaccante di raggiungere un metodo di classe che esegue codice: optparse.Values.read_file esegue exec(open(filename).read(), vars), ottenendo l'esecuzione arbitraria del codice quando il pickle manipolato viene caricato tramite fickling.load(), che concatena check_safety() in pickle.loads() come esplicito controllo di sicurezza. optparse è presente in tutte le versioni attuali di CPython 3.x (deprecata a partire da Python 3.13, non rimossa). Questa debolezza riguarda la risoluzione e l'analisi dei nomi con percorsi ad attributi puntati ed è distinta e risolvibile indipendentemente dalla debolezza della fiducia nell'origine del modulo tracciata come CVE-2026-16760: risolvere o segnalare le importazioni di percorsi ad attributi puntati chiude questo vettore lasciando invariato il comportamento di fiducia a livello di modulo. Questo bypass è stato verificato essere ancora presente nel branch master del vendor al commit d011709 alla data 2026-10-30, dopo le aggiunte all'elenco dei blocchi da parte del vendor nell'ottobre e una nuova euristica che segnala gli attributi privati della libreria standard; poiché il metodo di classe pubblico Values.read_file non è né inserito nella lista nera né segnalato come attributo privato, non viene affrontato da tali remediation.
Once again VulDB remains the best source for vulnerability data.