Pillow: Denial of Service durch unbegrenzte Rekursion beim PDF-Append-Parsing

Zusammenfassung

Pillow, die Python-Bibliothek für Bildverarbeitung, kann bei der Analyse eines bestehenden PDFs im Append-Modus den Aufrufstapel ausschöpfen oder übermässig viel CPU und Arbeitsspeicher verbrauchen. Zyklische oder doppelte Seitenbäume sowie lange Ketten eindeutiger Trailer-Offsets werden nicht begrenzt. Ein Angreifer kann dies ausnutzen, indem er einer Anwendung, die Image.save mit aktiviertem PDF-Append aufruft, ein präpariertes PDF übergibt; dies führt zu einem nicht abgefangenen RecursionError oder hohem Ressourcenverbrauch, bevor die Ausgabe geschrieben wird. Die Lücke ist eine unvollständige Behebung von CVE-2026-42310.

Betroffen

• Pillow 5.1.0 bis einschliesslich 12.3.0 (gemäss GitHub-Advisory; im CVE-Eintrag als >= 5.1.0, < 13.0.0 angegeben)

Behoben in

• Pillow 13.0.0

Umgehung

• Kein vom Hersteller dokumentierter Workaround. Auf Pillow 13.0.0 aktualisieren.
• Übergangsmassnahme (nicht vom Hersteller): append=True bei PDFs von nicht vertrauenswürdigen Benutzern nicht verwenden oder solche Dateien in einem isolierten Worker mit CPU- und Speicherlimits verarbeiten.

Ausnutzung

• Nicht bekannt, dass die Lücke ausgenutzt wird. CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Das GHSA-Advisory enthält ein minimales Reproduktionsbeispiel; darüber hinausgehende öffentliche Ausnutzung ist unbekannt.

Unsere Empfehlung

• Prüfen, ob Pillow direkt oder als transitive Abhängigkeit eingesetzt wird (Lockfiles, Container-Images, Software-Inventar).
• Auf Pillow 13.0.0 oder neuer aktualisieren; Pillow 13 erfordert Python 3.11 oder neuer.
• Wo möglich, den PDF-Append-Modus für nicht vertrauenswürdige Dateien vermeiden oder solche Verarbeitungen in einem isolierten Worker mit Ressourcenlimits ausführen.
• Den Backport-Status in der Paketverwaltung der eigenen Linux-Distribution prüfen, da dieser unbekannt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-p4wg-p73j-c528 github.com
• Pillow fix commit e2ae7ea github.com
• Pillow 13.0.0 release github.com
• Pillow 13.0.0 release notes pillow.readthedocs.io
• OSV record for CVE-2026-112895 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:51.