Pillow: Schreibzugriff ausserhalb des Speichers in ImageMorph bei Bildern mit Breite null

Zusammenfassung

Pillow, eine Python-Bibliothek zur Bildverarbeitung, schreibt ausserhalb eines Zeilenpuffers, wenn ImageMorph.MorphOp.apply() ein Bild mit der Breite null verarbeitet. Solche Bilder können aus PPM- oder PGM-Eingaben entstehen. Ein Angreifer, der einer Anwendung mit einer Morphologie-Operation eine solche Datei liefern kann, kann den Prozess zum Absturz bringen. Das Advisory erwähnt zusätzlich eine mögliche Speicherbeschädigung, es wurde aber keine Ausführung von Code gemeldet.

Betroffen

• Pillow-Versionen vor 13.0.0 (GitHub-Advisory nennt bis 12.3.0)
• Die Quellen unterscheiden sich im genauen betroffenen Bereich; mit NVD überprüfen.

Behoben in

• Pillow 13.0.0 (veröffentlicht am 16.10.2026)
• Distributionspakete können noch verwundbar sein; Status der OS-Pakete prüfen.

Umgehung

• Der CVE-Eintrag nennt keine Gegenmassnahme.
• Bis zum Update ImageMorph nicht auf unvertrauenswürdige Bilder anwenden und Bilder mit Breite oder Höhe null vor der Verarbeitung ablehnen (eigener Vorschlag, nicht aus einer Quelle).

Ausnutzung

• Nicht in KEV aufgeführt.
• CISA SSVC: Exploitation 'poc', automatisierbar 'yes'.
• Das Advisory enthält einen PoC, der einen Segmentation Fault auslöst.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Pillow über die normalen Abhängigkeitsupdates auf 13.0.0 oder neuer aktualisieren. Vorher testen, da 13.0.0 Python 3.10 nicht mehr unterstützt und einzelne Verhaltensweisen ändert.
• Container-Images und OS-Pakete auf die verwendete Pillow-Version prüfen.
• Anwendungen identifizieren, die ImageMorph auf vom Benutzer gelieferte PPM- oder PGM-Dateien anwenden. Gibt es keine, ist das Risiko gering.
• Dienste, die Uploads verarbeiten, auf Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-58r4-6rv3-gfh8 github.com
• Pillow 13.0.0 release github.com
• Fix commit 18f7c0d github.com
• GitLab advisory for Pillow CVE-2026-112397 advisories.gitlab.com
• OpenCVE entry CVE-2026-112397 app.opencve.io
• OSV entry GHSA-58r4-6rv3-gfh8 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:55.