Pillow: Speicherbeschädigung durch veralteten Bildspeicher in Multi-Frame-Loadern
Zusammenfassung
Pillow, die Python-Bibliothek für Bildverarbeitung, kann beim Verarbeiten von Multi-Frame-Dateien in den Formaten PSD, MPO, DCX oder MIC veralteten nativen Speicher wiederverwenden, wenn sich der Frame-Modus zwischen den Frames ändert. Eine präparierte Bilddatei kann Schreib- und Lesezugriffe ausserhalb der Speichergrenzen auslösen, was zu Abstürzen und in bestimmten Laufzeitumgebungen möglicherweise zur Ausführung von Befehlen führt. Für den Angriff genügt eine präparierte Bilddatei ohne Authentifizierung und ohne Benutzerinteraktion, weshalb öffentlich erreichbare Upload-Dienste, die Bilder mit Pillow verarbeiten, besonders gefährdet sind.
Betroffen
- Pillow 11.0.0 bis einschliesslich 12.x (Bereich laut Advisory: >= 11.0.0, < 13.0.0)
Behoben in
- Pillow 13.0.0
Umgehung
- Unbekannt. Es wurde keine Workaround des Herstellers gefunden; das Aktualisieren auf 13.0.0 ist die einzige Abhilfe laut den Quellen.
- Bis zur Aktualisierung keine unbekannten PSD-, MPO-, DCX- oder MIC-Dateien mit Pillow verarbeiten.
Ausnutzung
- CISA KEV: nicht gelistet. EPSS etwa 1 %.
- Ausnutzung in freier Wildbahn: keine bekannt.
- Der Advisory-Autor hat Abstürze, Speicherbeschädigungen und einen Lesezugriff ausserhalb der Grenzen demonstriert sowie die Ausführung von Befehlen nur in bestimmten Laufzeitumgebungen; universelle Remote Code Execution wird nicht behauptet.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Pillow auf 13.0.0 oder neuer aktualisieren; Pillow 13 setzt Python 3.11 oder neuer voraus.
- Requirements-Dateien, Lock-Dateien und Container-Images auf indirekte Pillow-Abhängigkeiten prüfen und betroffene Images neu erstellen.
- Die Verarbeitung von nicht vertrauenswürdigen Uploads bis zur Aktualisierung einschränken oder isolieren.
- Öffentlich erreichbare und Upload-verarbeitende Systeme priorisieren; Abstürze von Bildverarbeitungsdiensten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-v9pv-5gc8-w2m6 github.com
- Fix commit 78d97d9 (PR #10105) github.com
- Pillow 13.0.0 release github.com
- Pillow 13.0.0 release notes pillow.readthedocs.io
- Rapid7 vulnerability entry www.rapid7.com
- Vulners CVE-2026-96639 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.