Trail of Bits fickling: Umgehung von check_safety() über likely_safe_imports-Vertrauen

Zusammenfassung

Fickling bis Version 0.1.12 stuft jede aufrufbare Funktion aus einem nicht gesperrten Modul der Standardbibliothek als sicher ein. Präparierte Pickle-Dateien, die solche Funktionen aufrufen, zum Beispiel dataclasses._create_fn, mailcap.findmatch oder Dateischreibvorgänge über readline, erhalten ohne Befunde das Urteil LIKELY_SAFE. Da fickling.load() die Datei nach dieser Prüfung deserialisiert, kann ein Angreifer mit den Rechten des ladenden Prozesses Code ausführen oder Dateien schreiben.

Betroffen

• Trail of Bits fickling 0.1.12 und früher (0 bis <= 0.1.12)
• Nicht betroffen: Versionen, die im CVE-Eintrag nicht als betroffen aufgeführt sind

Behoben in

Unbekannt.

• Der Hersteller hat die drei demonstrierten Module auf dem Master-Branch (Commit d011709) in die UNSAFE_IMPORTS-Sperrliste aufgenommen, die Veröffentlichung steht noch aus.
• Es wurde keine veröffentlichte Version mit einer verifizierten Behebung gefunden. Es darf nicht davon ausgegangen werden, dass Version 0.1.11 oder eine andere Version diese CVE behebt.

Umgehung

• Der Hersteller dokumentiert keine genehmigte Workaround-Massnahme.
• Das Urteil von fickling darf nicht als Beweis dafür gelten, dass eine Pickle-Datei sicher ist.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept bekannt.
• Voraussetzung ist, dass ein Benutzer oder Prozess die Pickle-Datei des Angreifers lädt (UI:R).

Unsere Empfehlung

• Pickle-Dateien nur aus vertrauenswürdigen Quellen laden oder, wo möglich, ein nicht ausführbares Format wie safetensors verwenden.
• Falls das Laden von Pickle-Dateien unvermeidbar ist, in einer isolierten, unprivilegierten Umgebung ausführen.
• Requirements-Dateien und CI/CD-Pipelines auf fickling prüfen und es aus sicherheitskritischen Prüfungen heraushalten, bis eine verifizierte, behobene Version vorliegt.
• Nach Verfügbarkeit einer behobenen Version alle seit der Einführung des Scanners akzeptierten Pickle-Dateien erneut prüfen.
• fickling nicht als einzige Kontrolle für nicht vertrauenswürdige Modelle verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Bombadil Systems security advisories bombadil.systems
• Trail of Bits fickling repository github.com
• fickling commit d011709 github.com
• fickling 0.1.12 on PyPI pypi.org
• Trail of Bits GitHub security advisory GHSA-mhc9-48gj-9gp3 github.com
• Strix CVE-2026-16760 www.strix.ai
• OffSeq Radar CVE-2026-16760 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:38.