Madgetr

**Name of the Vulnerable Software and Affected Versions** PickleScan versions prior to 0.0.23 **Description** The issue allows for a ZIP archive manipulation attack, causing PickleScan to crash when extracting and scanning PyTorch model archives. An attacker can modify the filename in the ZIP header, while keeping the original filename in the directory listing, to make PickleScan raise a BadZipFile error. However, PyTorch's ZIP implementation still allows the model to be loaded, enabling malicious payloads to bypass detection. **Recommendations** For versions prior to 0.0.23, update to version 0.0.23 or later to resolve the issue. As a temporary workaround, consider restricting the use of PickleScan to scan PyTorch model archives until a patch is available. Avoid using PickleScan to extract and scan ZIP archives that may contain malicious payloads.

**Nome do Software Vulnerável e Versões Afetadas** Versões do PickleScan anteriores à 0.0.23 **Descrição** A vulnerabilidade permite que um atacante incorpore arquivos pickle maliciosos dentro de arquivos de modelo do PyTorch, modificando bits de flag específicos do arquivo ZIP. Isso pode levar à execução arbitrária de código ao carregar um modelo comprometido, pois os arquivos maliciosos permanecem indetectáveis pelo PickleScan, mas são carregados com sucesso pela função torch.load() do PyTorch. **Recomendações** Para versões do PickleScan anteriores à 0.0.23, atualize para a versão 0.0.23 ou posterior para resolver o problema. Como medida de contorno temporária, considere inspecionar manualmente os cabeçalhos dos arquivos ZIP em busca de bits de flag modificados antes de carregar modelos do PyTorch. Restrinja o acesso a modelos potencialmente comprometidos para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** picklescan versions prior to 0.0.21 **Description** The issue allows an attacker to craft a malicious model that uses Pickle to pull in a malicious PyPI package via `pip.main()`. This is possible because 'pip' is not treated as an unsafe global, causing the model to pass security checks and appear safe when scanned, even though it could be problematic. **Recommendations** For picklescan versions prior to 0.0.21, update to version 0.0.21 or later to resolve the issue. As a temporary workaround, consider restricting the use of the `pip.main()` function to minimize the risk of exploitation.

**Nome do Software Vulnerável e Versões Afetadas** Versões do picklescan anteriores a 0.0.22 **Descrição** O problema surge porque o picklescan considera apenas extensões de arquivo pickle padrão durante sua varredura de vulnerabilidade. Um atacante pode criar um modelo malicioso que usa Pickle e inclui um arquivo pickle malicioso com uma extensão de arquivo não padrão. Como a inclusão do arquivo pickle malicioso não é considerada parte do escopo do picklescan, o arquivo passaria pelas verificações de segurança e pareceria seguro, quando poderia, na verdade, ser problemático. Esta vulnerabilidade pode levar à execução arbitrária de código quando um modelo é carregado, potencialmente permitindo ataques à cadeia de suprimentos ao incorporar código malicioso em modelos PyTorch que permanece indetectado, mas é executado quando o modelo é carregado. **Recomendações** 1. Para versões anteriores a 0.0.22, realize a varredura de todos os arquivos no arquivo ZIP em vez de confiar nas extensões de arquivo. 2. Para versões anteriores a 0.0.22, detecte referências pickle ocultas realizando análise estática para identificar chamadas `torch.load(pickle file=...)` dentro de `data.pkl`. 3. Para versões anteriores a 0.0.22, implemente a detecção de bytes mágicos para inspecionar o conteúdo do arquivo em busca de bytes mágicos do pickle (`x80x05`) em vez de confiar nas extensões. 4. Para versões anteriores a 0.0.22, bloqueie os seguintes globais: `torch.load` e `functools.partial`.