CVE-2026-22608 - Fickling因ctypes与pydoc gadget链利用而存在漏洞，可绕过检测
概述
描述
Fickling 是一个 Python pickle 反编译器和静态分析器。在 0.1.7 版本之前，ctypes 和 pydoc 模块都没有被明确阻止。即使其他现有的 pickle 扫描工具（如 picklescan）也不会阻止 pydoc.locate。将这两者链式利用可以实现远程代码执行（RCE），而扫描器仍然会将文件报告为 LIKELY_SAFE。此问题已在版本 0.1.7 中修复。
信息
- 发布日期： 2026年1月10日，凌晨 2:15
- 最后修改日期： 2026年1月10日，凌晨 2:15
- 可远程利用： 是！
- 来源： security-advisories@github.com
受影响产品
以下产品受到 CVE-2026-22608 漏洞影响。即使 cvefeed.io 知道受影响产品的确切版本，该信息也未在下表中体现。
| ID | 供应商 | 产品 | 操作 |
|---|---|---|---|
| 1 | Trailofbits | fickling | |
| *总计受影响供应商：1 | 产品：1* |
CVSS 评分
通用漏洞评分系统（CVSS）是一个用于评估软件和系统中漏洞严重性的标准化框架。我们为每个 CVE 收集并显示来自不同来源的 CVSS 评分。
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 8.9 | CVSS 4.0 | 高 | security-advisories@github.com |
解决方案
将 Fickling 更新到 0.1.7 或更高版本以修复 RCE 漏洞。
- 将 Fickling 更新至版本 0.1.7 或更高版本。
- 确保阻止 ctypes 和 pydoc 模块。
- 审查扫描器配置中关于 pydoc.locate 的设置。
安全公告、解决方案和工具参考
您将在此处找到与 CVE-2026-22608 相关的提供深入信息、实用解决方案和有价值工具的外部链接精选列表。
CWE - 通用缺陷枚举
CVE 标识特定的漏洞实例，而 CWE 则对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2026-22608 与以下 CWE 相关联：
- CWE-184: 不允许的输入列表不完整
- CWE-502: 不可信数据的反序列化
通用攻击模式枚举与分类 (CAPEC)
通用攻击模式枚举与分类 (CAPEC) 存储了攻击模式，这些模式描述了攻击者利用 CVE-2026-22608 弱点的常见属性和方法。
- CAPEC-3: 使用前导’幽灵’字符序列绕过输入过滤器
- CAPEC-6: 参数注入
- CAPEC-15: 命令分隔符
- CAPEC-43: 利用多层输入解释
- CAPEC-71: 使用 Unicode 编码绕过验证逻辑
- CAPEC-73: 用户控制的文件名
- CAPEC-85: AJAX 信息收集
- CAPEC-120: 双重编码
- CAPEC-182: Flash 注入
- CAPEC-586: 对象注入
我们扫描 GitHub 仓库以检测新的概念验证漏洞利用。以下列表是在 GitHub 上发布的公共漏洞利用和概念验证集合（按最近更新时间排序）。由于潜在的性能问题，结果限制在前 15 个仓库。
由于潜在的性能问题，结果限制在前 20 篇新闻文章。
以下表格列出了 CVE-2026-22608 漏洞随时间所做的更改。漏洞历史记录详细信息有助于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
| 操作 | 类型 | 旧值 | 新值 |
|---|
| 新增 | CVSS V4.0 | | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | | 新增 | CWE | | CWE-184 | | 新增 | CWE | | CWE-502 | | 新增 | 参考 | | https://github.com/trailofbits/fickling/commit/b793563e60a5e039c5837b09d7f4f6b92e6040d1 | | 新增 | 参考 | | https://github.com/trailofbits/fickling/releases/tag/v0.1.7 | | 新增 | 参考 | | https://github.com/trailofbits/fickling/security/advisories/GHSA-5hvc-6wx8-mvv4 |
EPSS 是对未来 30 天内观察到漏洞利用活动概率的每日估计。下图显示了该漏洞的 EPSS 评分历史。
注入
漏洞评分详情
CVSS 4.0
- 基础 CVSS 分数：8.9
| 攻击向量 | 攻击复杂度 | 攻击要求 | 所需权限 | 用户交互 | VS 机密性 | VS 完整性 | VS 可用性 | SS 机密性 | SS 完整性 | SS 可用性 |
|---|---|---|---|---|---|---|---|---|---|---|
| 网络 | 低 | 无 | 无 | 无 | 高 | 高 | 高 | 无 | 无 | 无 |
- 攻击向量：网络/邻近/本地/物理
- 攻击复杂度：低/高
- 攻击要求：无/存在
- 所需权限：无/低/高
- 用户交互：无/被动/主动
- VS 机密性：高/低/无
- VS 完整性：高/低/无
- VS 可用性：高/低/无
- SS 机密性：高/低/无
- SS 完整性：高/低/无
- SS 可用性：高/低/无