Pillow: Speichererschöpfung im MSP-RLE-Decoder durch manipuliertes Bild

Zusammenfassung

Pillow, die Python-Bibliothek für Bildverarbeitung, enthält einen Fehler im MSP-Bildplugin: Eine kleine, manipulierte Datei kann zu einem unbegrenzten Speicherpuffer im Arbeitsspeicher expandiert werden. Ein Angreifer, der eine Anwendung zum Laden solcher Dateien bringt, kann den Speicher erschöpfen und einen Denial-of-Service auslösen. Die Prüfung der deklarierten Pixelanzahl (MAX_IMAGE_PIXELS) verhindert diese Expansion nicht.

Betroffen

• Pillow 4.1.0 bis 12.3.0 (CVE-Eintrag: >= 4.1.0, < 13.0.0)

Behoben in

• Pillow 13.0.0

Umgehung

• Unbekannt seitens des Herstellers; das Aktualisieren auf Pillow 13.0.0 ist die einzige aufgeführte Massnahme.
• Drittanbieter-Vorschlag (nicht vom Hersteller): Dateigrösse von MSP-Dateien vor dem Dekodieren prüfen und Dateien oberhalb eines festgelegten Limits ablehnen.
• Einschränkung der akzeptierten Bildformate in der Anwendung, sodass MSP-Dateien nie verarbeitet werden (nicht getestet).

Ausnutzung

• Gemäss verfügbaren Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.
• EPSS-Wert etwa 0,004.

Unsere Empfehlung

• Alle Pillow-Instanzen identifizieren, einschliesslich transitiver Abhängigkeiten, Lockfiles und Container-Images.
• Auf Pillow 13.0.0 oder neuer aktualisieren; diese Version enthält zudem weitere Sicherheitskorrekturen.
• Internetseitig erreichbare Dienste priorisieren, die Bild-Uploads ohne Authentifizierung akzeptieren.
• Bis zur Behebung übergrosse MSP-Dateien vor dem Dekodieren zurückweisen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-gg2r-wvfm-q9rx github.com
• Fix commit 5dcb630 (Do not decode more MSP data than necessary) github.com
• Pillow 13.0.0 release github.com
• OSV entry GHSA-gg2r-wvfm-q9rx osv.dev
• Pillow 13.0.0 release notes pillow.readthedocs.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:50.