Pillow: Denial of Service durch Endlosschleife bei PDF-Seitenbaum-Neuaufbau

Zusammenfassung

Pillow, eine Python-Bibliothek zur Bildverarbeitung, kann in eine Endlosschleife geraten, wenn eine Anwendung ein Bild an eine bestehende PDF-Datei anhängt, deren Seitenbaum einen /Parent-Zyklus enthält. Die betroffene Funktion PdfParser.rewrite_pages() verfolgt Parent-Referenzen, ohne Zyklen zu erkennen. Ein Angreifer, der eine solche manipulierte PDF-Datei liefern kann, kann einen Worker-Prozess dauerhaft auf volle CPU-Auslastung bringen und so einen Denial of Service auslösen; Vertraulichkeit und Integrität sind nicht betroffen. Nur Anwendungen, die Pillow zum Anhängen an vom Angreifer gelieferte Dateien verwenden, sind gefährdet.

Betroffen

• Pillow von 5.1.0 bis einschliesslich 12.3.0 (Advisory nennt 5.1.0 bis 12.3.0; NVD nennt vor 13.0.0)

Behoben in

• Pillow 13.0.0

Umgehung

• Kein Workaround des Herstellers dokumentiert.
• Bilder nicht an PDF-Dateien aus unvertrauenswürdigen Quellen anhängen, bis Pillow aktualisiert ist.
• Alternativ unvertrauenswürdige PDF-Dateien vor dem Anhängen prüfen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Kein öffentlicher Proof-of-Concept und keine bekannte Ausnutzung in den geprüften Quellen gefunden. Der KEV-Katalog der CISA wurde nicht direkt geprüft.

Unsere Empfehlung

• Alle Python-Umgebungen und Container-Images mit Pillow identifizieren, einschliesslich transitiver Abhängigkeiten.
• Pillow auf Version 13.0.0 oder neuer aktualisieren.
• Öffentlich erreichbare Upload- oder Dokumentverarbeitungs-Workflows, die Bilder an PDF-Dateien anhängen, priorisieren.
• Timeouts und Worker-Limits für Dokumentverarbeitungsjobs einsetzen.
• Prozesse mit dauerhaft hoher CPU-Last überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA advisory GHSA-f2g6-542v-9j58 github.com
• Fix commit b3ebf20 github.com
• Pillow 13.0.0 release github.com
• OSV BIT-pillow-2026-112406 osv.dev
• Ubuntu CVE-2026-112406 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:53.