Pillow: Denial of Service durch veralteten GIF-Framegrösse nach Decompression-Bomb-Fehler

Zusammenfassung

Pillow, eine Python-Bibliothek zur Bildverarbeitung, behält nach einem DecompressionBombError in GifImageFile._seek() die abgelehnte GIF-Framegrösse im Bildobjekt. Ein präpariertes GIF von rund 60 Bytes kann danach bei weiteren Seek-, Load-, Neuerstellungs- oder Rotationsoperationen Speicher im Gigabyte-Bereich anfordern. Der Angriff setzt voraus, dass eine Anwendung diese Ausnahme abfängt und dasselbe Bildobjekt weiterverwendet, etwa ein Upload-Dienst für benutzerdefinierte GIFs. Ein erfolgreicher Angriff erschöpft den Speicher und führt zu einem Denial of Service; es kommt zu keiner Speicherbeschädigung.

Betroffen

• Pillow >= 9.2.0 und < 13.0.0 (CVE-Eintrag)
• Das GitHub-Advisory listet die betroffenen Versionen als <= 12.3.0
• Python-3.10-Systeme: Keine korrigierte Pillow-Version unterstützt Python 3.10 (sekundär, nicht verifiziert)

Behoben in

• Pillow 13.0.0 (Fix-Commit 6faed707cfb760a4cbd726ddc8406f576cf35bf7)

Umgehung

• Der Hersteller stellt keine Workaround bereit.
• Bildobjekt nach dem Abfangen von DecompressionBombError verwerfen und nicht weiterverwenden.

Ausnutzung

• Nicht als in freier Wildbahn ausgenutzt bekannt; nicht in KEV gelistet.
• Öffentlicher Proof of Concept: ja (CISA SSVC: Exploitation poc, automatisierbar ja).
• Technische Auswirkung: teilweise (Verfügbarkeit).

Unsere Empfehlung

• Alle Pillow-Installationen inventarisieren, einschliesslich transitiver Abhängigkeiten und vom Hersteller mitgelieferter Kopien, und Versionen unter 13.0.0 kennzeichnen.
• Auf Pillow 13.0.0 aktualisieren, sofern Python 3.11 oder neuer verfügbar ist; für Python-3.10-Systeme eine Migration planen.
• Code prüfen, der DecompressionBombError abfängt, und das Bildobjekt nach der Ausnahme nicht mehr weiterverwenden.
• Öffentlich erreichbare Dienste mit benutzerseitigen GIF-Uploads priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-65qm-jvmh-6pqg github.com
• Pillow 13.0.0 release github.com
• Fix commit 6faed707 github.com
• OSV BIT-pillow-2026-112400 osv.dev
• Ubuntu CVE tracker ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:54.