Pillow: Doppelte Freigabe von Speicher bei Bildtransformation
Zusammenfassung
Pillow, die Python-Bibliothek für Bildverarbeitung, kann Bildspeicher in Image.transform() doppelt freigeben, wenn in ImagingScaleAffine eine Speicherallokation fehlschlägt. Ein Angreifer, der die Ausgabegrösse eines solchen Aufrufs bestimmen kann, kann den Worker-Prozess zum Absturz bringen und möglicherweise den Heap beschädigen. Der Absturz setzt ein Speicherlimit oder einen 32-Bit-Prozess voraus; betroffen sind die Pfade EXTENT und AFFINE mit reiner Skalierung/Verschiebung und NEAREST-Resampling, während resize(), thumbnail() und rotate() nicht betroffen sind.
Betroffen
- Pillow vor 13.0.0 (GHSA-Advisory: bis einschliesslich 12.3.0)
Behoben in
- Pillow 13.0.0 (Fix-Commit aafa6c75f7cdabb9f409a8aac7c780bea31d08d9)
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
- Übergangsmassnahme (eigene Empfehlung, nicht vom Hersteller): Untrusted Benutzern nicht erlauben, Ausgabegrössen für Image.transform() festzulegen, und Speicherlimits für Bildverarbeitungs-Worker beibehalten.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung 'poc' (Proof of Concept vorhanden), automatisierbar: ja, technische Auswirkung: partiell.
- Das GHSA-Advisory beschreibt den Absturz detailliert und enthält einen Reproducer.
- Keine Ausnutzung in freier Wildbahn bekannt. Nicht gegen den CISA-KEV-Katalog verifiziert.
Unsere Empfehlung
- Pillow auf 13.0.0 oder neuer aktualisieren und Versionsbeschränkungen wie Pillow<13 entfernen; anschliessend die Anwendung testen.
- Bei über das Betriebssystem installiertem Pillow das Sicherheitsupdate der Distribution einspielen.
- Prüfen, ob Benutzereingaben Grössen für Image.transform() festlegen können, und diese einschränken.
- Bildverarbeitungs-Worker auf Abstürze und MemoryError-Ereignisse überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-7mwm-ghpf-9vrm github.com
- Fix commit aafa6c75f7cdabb9f409a8aac7c780bea31d08d9 github.com
- Pillow 13.0.0 release tag github.com
- Pillow 13.0.0 release notes pillow.readthedocs.io
- OSV entry GHSA-7mwm-ghpf-9vrm osv.dev
- Amazon Linux security advisory CVE-2026-112402 explore.alas.aws.amazon.com
- Ubuntu security notice CVE-2026-112402 ubuntu.com
- VulDB CVE-2026-112402 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:55.
Referenzen der NVD (4)
- https://github.com/python-pillow/Pillow/commit/aafa6c75f7cdabb9f409a8aac7c780bea31d08d9
- https://github.com/python-pillow/Pillow/releases/tag/13.0.0
- https://github.com/python-pillow/Pillow/security/advisories/GHSA-7mwm-ghpf-9vrm
- https://github.com/python-pillow/Pillow/security/advisories/GHSA-7mwm-ghpf-9vrm
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.