Pillow: Null-Pointer-Dereferenzierung in Image.merge()

Zusammenfassung

Pillow, die Python-Bibliothek für Bildverarbeitung, enthält eine Null-Pointer-Dereferenzierung in Image.merge(). Die Funktion prüft das erste Eingabeband nicht, daher kann ein präpariertes Bild den nativen Prozess zum Absturz bringen. Ein Angreifer kann dies auslösen, indem er eine präparierte IPTC-Datei bereitstellt, die eine Anwendung öffnet und lädt, oder indem er Image.merge() direkt mit einem manipulierten ersten Band aufruft. Die Auswirkung ist ein Denial of Service (harter Absturz), nicht eine Codeausführung oder Datenpreisgabe.

Betroffen

• Pillow 12.0.0 bis 12.3.0 (gemäss GitHub-Advisory GHSA-cp9v-662q-vvx9)
• Der CVE-Eintrag beschreibt den Bereich als 12.0.0 bis vor 13.0.0

Behoben in

• Pillow 13.0.0

Umgehung

• Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround verfügbar.
• Ein try/except-Block dürfte nicht helfen, da ein nativer Segmentation Fault nicht durch die Ausnahmebehandlung von Python abgefangen werden kann.
• Die Isolation der Bildverarbeitung in einem separaten Worker-Prozess begrenzt die Auswirkung eines Absturzes.

Ausnutzung

• Ein öffentlicher Proof of Concept existiert (in der GitHub-Advisory beschrieben).
• CISA SSVC: Exploitation poc, automatisierbar: ja, technische Auswirkung: partiell.
• Bekannte Ausnutzung in freier Wildbahn: Unbekannt. Der CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Pillow-Versionen auf Servern, in Containern und Appliances inventarisieren, einschliesslich transitiver Abhängigkeiten.
• Auf Pillow 13.0.0 oder neuer aktualisieren und die bildverarbeitenden Teile vor dem Rollout testen (Pillow 13 unterstützt Python 3.10 nicht mehr).
• Falls ein sofortiges Update nicht möglich ist, die Verarbeitung nicht vertrauenswürdiger Bilder einschränken oder isolieren.
• Internetseitige Upload-Funktionen und Dokumentenverarbeitung priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cp9v-662q-vvx9 github.com
• Pillow commit b6ee66e (fix) github.com
• Pillow 13.0.0 release github.com
• OSV GHSA-cp9v-662q-vvx9 osv.dev
• Ubuntu CVE-2026-112405 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:52.