Mittel

Scapy Session Loading Vulnerable to Arbitrary Code Execution via Untrusted Pickle Deserialization

Veröffentlicht: 22.10.2025
Aktualisiert: 11.10.2026 12:19

Summary

An unsafe deserialization vulnerability in Scapy <v2.7.0 allows attackers to execute arbitrary code when a malicious session file is locally loaded via the -s option. This requires convincing a user to manually load a malicious session file.

Details

Scapy’s interactive shell supports session loading using gzip-compressed pickle files:

bash

./run_scapy -s <session_file.pkl.gz>

Internally, this triggers:

python

# main.py
SESSION = pickle.load(gzip.open(session_name, "rb"))

Since no validation or restriction is performed on the deserialized object, any code embedded via __reduce__() will be executed immediately. This makes it trivial for an attacker to drop a malicious .pkl.gz in a shared folder and have it executed by unsuspecting users.

The vulnerability exists in the load_session function, which deserializes data using pickle.load() on .pkl.gz files provided via the -s CLI flag or programmatically through conf.session.

Affected lines in source code: https://github.com/secdev/scapy/blob/master/scapy/main.py#L569-L572

python

try:
    s = pickle.load(gzip.open(fname, "rb"))
except IOError:
    try:
        s = pickle.load(open(fname, "rb"))

Impact

This is a classic deserialization vulnerability which leads to Code Execution (CE) when untrusted data is deserialized.

Any user who can trick another user into loading a crafted .pkl.gz session file (e.g. via -s option) can execute arbitrary Python code.

Vulnerability type: Insecure deserialization (Python pickle)
CWE: CWE-502: Deserialization of Untrusted Data
CVSS v4.0 Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS Score: 5.4 (Medium)
Impact: Arbitrary Code Execution
Attack vector: Local or supply chain (malicious .pkl.gz)
Affected users: Any user who loads session files (even interactively)
Affected version: Scapy v2.6.1

Mitigations

Do not use 'sessions' (the -s option when launching Scapy).
Use the Scapy 2.7.0+ where the session mechanism has been removed.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	scapy	<= 2.6.1	keine Korrektur

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Schwäche (CWE): CWE-502
Plattform: Python (PyPI)
Paket: scapy
Veröffentlicht: 22.10.2025
Aktualisiert: 11.10.2026 12:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-cq46-m9x9-j8w2 - CC BY 4.0

Schwachstellenhistorie: scapy

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 07.2019 10.2025
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1

Veröffentlichungen pro Jahr

2019: 1
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 1
2026: 0

22.10.2025

Scapy Session Loading Vulnerable to Arbitrary Code Execution via Untrusted Pickle Deserialization dieser Eintrag

Mittel ghsa-cq46-m9x9-j8w2 <= 2.6.1 keine Korrektur
19.07.2019

Infinite Loop in scapy

Hoch · 7.5 CVE-2019-1010142 >= 2.4-rc1, < 2.4.1 2.4.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden