Pillow: Heap-Buffer-Overflow und Datenleck beim TIFF-Speichern in BytesIO

Zusammenfassung

Pillow, eine Python-Bibliothek für Bildverarbeitung, enthält einen Heap-Buffer-Overflow im TIFF-Writer beim Speichern komprimierter TIFF-Bilder in Speicherziele wie io.BytesIO. Ein Angreifer, der einem Dienst ein Bild liefern kann, das dieser öffnet und als TIFF neu speichert, kann den Prozess zum Absturz bringen; Codeausführung ist möglich, aber nicht demonstriert. Zudem können nicht initialisierte Heap-Bytes in komprimierte TIFF-Ausgaben grösser als 64 KiB gelangen. Speicherungen in echte Dateien sind nicht betroffen.

Betroffen

• Pillow 2.0.0 bis und mit 13.0.0 ausgenommen (das Advisory nennt Versionen bis 12.3.0)

Behoben in

• Pillow 13.0.0

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
• Bis zum Patch komprimierte TIFF-Bilder bei nicht vertrauenswürdigen Eingaben in echte Dateien statt in BytesIO speichern, oder die TIFF-Verarbeitung von Uploads in Webanwendungen deaktivieren.

Ausnutzung

• Im Advisory wird ein öffentlicher Reproducer referenziert. Er demonstriert einen Absturz; Codeausführung ist nicht demonstriert.
• CISA SSVC führt die Ausnutzung als poc und die Automatisierbarkeit als nein.
• Es ist keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Alle Pillow-Installationen finden, einschliesslich transitiver Abhängigkeiten in virtuellen Umgebungen und Containern, zum Beispiel mit pip show pillow.
• Auf Pillow 13.0.0 oder neuer aktualisieren. Versionsbeschränkungen unter 13 prüfen, die das Update blockieren.
• Prüfen, ob internetexponierte Dienste benutzergelieferte Bilder annehmen und als TIFF neu kodieren; diese Systeme priorisieren.
• Anwendungslogs auf Abstürze bei der Bildverarbeitung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-332p-7hrc-92wf github.com
• Fix commit 11582e5 github.com
• Pillow 13.0.0 release github.com
• Pillow 13.0.0 release notes pillow.readthedocs.io
• OSV entry GHSA-332p-7hrc-92wf osv.dev
• VulDB entry 422539 vuldb.com
• The Hacker News: critical flaw in Pillow thehackernews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:16.