Ficklingは、Pythonのピックル解除用デコンパイラおよび静的解析ツールです。バージョン0.1.6より前では、安全でないモジュールインポートのブロックリストに「marshal」と「types」が含まれていませんでした。この問題に対応するため、Ficklingは両方のモジュールをブロックするようになりました。この欠落により、攻撃者はFicklingの検知を回避できる悪意のあるpickleファイルを作成できます。例えば、「types.FunctionType」や「marshal.loads」を用いたコードが検知されないため、ユーザーが安全だと誤信してそのようなファイルをデシリアライズすると、意図せずシステム上で任意のコードが実行される恐れがあります。この問題は、pickleファイルのセキュリティ検証にFicklingを使用するユーザーやシステムに影響します。本脆弱性はバージョン0.1.6で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。