Pillow: Informationsoffenlegung durch nicht initialisierten Speicher bei TIFF-Dekodierung

Zusammenfassung

Pillow, eine Python-Bibliothek zur Bildverarbeitung, gibt nicht initialisierten Heap-Speicher als Bildpixel zurück, wenn libtiff JPEG-komprimierte oder Group-4-Fax-TIFF-Dateien nur teilweise dekodiert. Ein Angreifer kann eine präparierte TIFF-Datei an eine Anwendung übergeben, die das Bild lädt und dessen Pixel zurückgibt oder neu kodiert, etwa als Vorschaubild, Vorschau oder konvertierte Kopie. Dadurch können veraltete Heap-Inhalte des Worker-Prozesses offengelegt werden, ohne Speicherbeschädigung oder Absturz.

Betroffen

• Pillow-Versionen 5.3.0 bis einschliesslich 12.3.0 (CNA-Bereich: >= 5.3.0, < 13.0.0)
• Kachelpfad betroffen seit 5.3.0, Streifenpfad seit 6.0.0

Behoben in

• Pillow 13.0.0

Umgehung

• Im CVE-Eintrag ist kein Workaround aufgeführt.
• Übergangsmassnahme (nicht aus einer Herstellerquelle): keine TIFF-Uploads akzeptieren oder TIFF-Dateien vor der Verarbeitung in einem isolierten Worker in ein anderes Format konvertieren.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt. CISA SSVC: Exploitation-Status poc, nicht automatisierbar.
• Die Advisory enthält eine Reproduktionsmethode, die Technik ist daher öffentlich bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Pillow-Versionen inventarisieren, einschliesslich transitiver Abhängigkeiten in Containern und virtuellen Umgebungen.
• Pillow auf 13.0.0 oder neuer aktualisieren, zuerst Dienste mit Internetzugang, die Uploads verarbeiten.
• Bis zur Behebung TIFF-Eingaben in Upload-Pfaden blockieren oder in einer Sandbox verarbeiten.
• Prüfen, ob Anwendungen hochgeladene TIFF-Dateien mit Pillow öffnen und pixelbasierte Ausgaben zurückgeben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-q45j-58j2-45rg github.com
• Pillow 13.0.0 release github.com
• Fix commit 1d4773e6 github.com
• Pillow 13.0.0 release notes pillow.readthedocs.io
• OSV GHSA-q45j-58j2-45rg osv.dev
• VulDB entry 422555 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:52.