Pillow: NULL-Pointer-Dereferenzierung in Rangfiltern für Bilder mit Grösse null

Zusammenfassung

Pillow, eine Python-Bibliothek zur Bildverarbeitung, kann den gesamten Python-Prozess zum Absturz bringen, wenn ein Median-, Minimum-, Maximum- oder Rangfilter auf ein Bild mit einer Breite oder Höhe von null angewendet wird. Solche Bilder lassen sich mit gewöhnlichen Aufrufen erzeugen, etwa durch Zuschneiden mit gleichen Rändern, oder über eine speziell präparierte mehrseitige TIFF-Datei. Ein Angreifer, der einer Anwendung Zuschneidekoordinaten oder ein hochgeladenes Bild liefern kann und diese Filter nutzt, kann deren Worker-Prozess zum Absturz bringen; die Schwachstelle führt nur zu einer Denial-of-Service-Situation ohne Offenlegung von Speicherinhalten oder Codeausführung.

Betroffen

• Pillow-Versionen vor 13.0.0 (das Advisory nennt betroffene Versionen <= 12.3.0)

Behoben in

• Pillow 13.0.0 (Fix-Commit 443e3130a8c11594fd0e296afad497e11e678961)

Umgehung

• Vor dem Anwenden eines Median-, Minimum-, Maximum- oder Rangfilters prüfen, dass Bilder eine von null verschiedene Breite und Höhe haben.
• Eine Prüfung auf Python-Ebene im Rangfilter-Code verhindert den Absturz ebenfalls. Diese Workarounds ersetzen kein Update.

Ausnutzung

• CISA SSVC führt die Ausnutzung als 'poc' und die Automatisierbarkeit als ja.
• Laut den verfügbaren Quellen ist keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Pillow auf Version 13.0.0 oder neuer aktualisieren. Pillow 13 benötigt Python 3.11 oder neuer, daher wo nötig zuerst Python aktualisieren.
• Abhängigkeitsbäume und Container-Images auf indirekt installiertes Pillow prüfen und auf Versionsfixierungen unter 13.0.0 achten.
• Öffentlich erreichbare Dienste priorisieren, die hochgeladene Bilder annehmen und Rang- oder Median-Filter darauf anwenden.
• Bis zum Patch die Bildabmessungen vor dem Filtern prüfen und auf unerwartete Worker-Abstürze achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-27h8-gf7j-v5hc github.com
• Pillow 13.0.0 release github.com
• Fix commit 443e3130a8c11594fd0e296afad497e11e678961 github.com
• Pillow 13.0.0 release notes github.com
• OSV GHSA-27h8-gf7j-v5hc osv.dev
• OpenCVE CVE-2026-112392 app.opencve.io
• OffSeq radar CVE-2026-112392 radar.offseq.com
• Strix CVE-2026-112392 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:40.