PickleScan, scoperti tre bug 0-day che permettono di iniettare payload malevoli nei modelli ML

Dic 03, 2025 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

I ricercatori di JFrog Security Research hanno individuato tre vulnerabilità 0-day in PickleScan, noto tool per la scansione di modelli di machine learning per l’individuazione di codice malevolo.

“Ogni vulnerabilità scoperta consente agli attaccanti di eludere il rilevamento dei malware di PickleScan e potenzialmente eseguire un attacco supply chain su larga scala distribuendo modelli ML dannosi che nascondono codice dannoso non rilevabile” spiegano i ricercatori.
Pickle di Python è notoriamente non sicuro a causa della sua capacità di serializzare quasi tutto, inclusi oggetti Python che possono eseguire codice arbitrario durante la deserializzazione. Numerosi framework ML, tra i quali PyTorch, lo utilizzano per salvare i pesi e la struttura dei modelli di machine learning. PickleScan è nato come uno strumento per mitigare questo rischio: il tool analizza i modelli Pickle alla ricerca di costrutti non sicuri prima che vengano caricati. Con queste tre nuove vulnerabilità, gli attaccanti possono eludere questo meccanismo di difesa ed eseguire codice da remoto.

Le vulnerabilità di PickleScan

La prima vulnerabilità individuata, tracciata come CVE-2025-10155, è un bug di bypass dell’estensione del file. Questo bug sfrutta una debolezza dello strumento che, nel rilevare il tipo di file, dà priorità al controllo dell’estensione del file rispetto all’analisi del contenuto.

Un attaccante può quindi usare un file Pickle standard e iniettarvi un payload malevolo, rinominandolo poi in un’estensione comunemente associata a PyTorch, come .bin o .pt. Quando PickleScan scansiona il file rinominato, tenta di applicare la logica di scansione specifica per PyTorch. Poiché il file è in realtà un Pickle standard, lo scanner PyTorch fallisce e restituisce un errore o un risultato incompleto, bypassando di fatto l’analisi del contenuto. Il payload malevolo si attiva poi al momento del caricamento da parte di PyTorch.

La seconda vulnerabilità risiede nel processo di gestione degli archivi ZIP, spesso usati per i modelli PyTorch. Lo strumento usa il modulo zipfile di Python per gestire gli archivi, ma la verifica dell’integrità dei file non è abbastanza robusta: un attaccante può infatti creare un archivio .zip contenente un payload dannoso e manipolarlo affinché la scansione di PickleScan fallisca o venga interrotta, senza restituire un risultato. Nonostante PickleScan fallisca la scansione, PyTorch può comunque caricare ed eseguire il codice malevolo.

Infine, la terza vulnerabilità sfrutta una logica di deserializzazione specifica di PyTorch del metodo reduce. Il metodo viene utilizzato per ricostruire gli oggetti e PickleScan non riesce a identificare correttamente l’uso di funzioni che sono considerate non sicure. Un attaccante può creare un payload Pickle sfruttando un difetto logico nel tracciamento degli argomenti durante l’analisi per causare un errore di gestione degli argomenti e innescare eccezioni. Bypassando i meccanismi di rilevamento di PickleScan, è possibile eseguire codice da remoto.

I ricercatori di JFrog Security Research sottolineano che queste tre vulnerabilità evidenziano un problema sistemico nel modo in cui si approccia la sicurezza dei modelli di machine learning: in primo luogo, l’estesa dipendenza da PickleScan crea un singolo punto di fallimento, rendendo vulnerabile l’intera architettura di sicurezza; inoltre, i tre bug dimostrano quanto è rischioso assumere che i tool di sicurezza e le applicazioni gestiscano i file allo stesso modo; infine, poiché i repository ospitano milioni di modelli, queste vulnerabilità consentono l’esecuzione di attacchi supply chain su ampia scala.

Il team di JFrog Security Reserach consiglia di aggiornare PickleScan all’ultima versione disponibile contenente le patch per le vulnerabilità. È consigliato inoltre valutare la migrazione a formati di serializzazione del modello più sicuri e meno flessibili e mettere in campo flussi di scansione a più livelli, senza affidarsi a un unico strumento.

Condividi l'articolo