PT-2020-12478 · Pillow+2 · Pillow+2

Hugovk · Publicado 2020-06-25 · Atualizado 2024-03-06 · CVE-2020-10994

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Pillow anteriores à 7.1.0

Descrição

O problema está relacionado a múltiplas leituras fora dos limites que podem ocorrer por meio de um arquivo JP2 malicioso no módulo libImaging/Jpeg2KDecode.c.

Recomendações

Para versões do Pillow anteriores à 7.1.0, atualize para a versão 7.1.0 ou posterior para resolver o problema.

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

BIT-PILLOW-2020-10994

CVE-2020-10994

GHSA-VJ42-XQ3R-HR3R

MGASA-2020-0434

PYSEC-2020-79

SUSE-RU-2020:2161-1

SUSE-SU-2020:2057-1

SUSE-SU-2020:2911-1

SUSE-SU-2020:3309-1

USN-4430-1

USN-4430-2

Produtos afetados

Linuxmint

Pillow

Ubuntu

Referências · 207

• https://github.com/python-pillow/Pillow/pull/4538 · Correção
• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/commits/master/src/libImaging · Correção
• https://github.com/python-pillow/Pillow/pull/4505 · Correção
• https://github.com/python-pillow/Pillow/blob/master/docs/releasenotes/7.1.0.rst#security · Nota
• https://github.com/python-pillow/Pillow/commit/ff60894d697d1992147b791101ad53a8bf1352e4 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2020-79.yaml · Nota
• https://bugzilla.suse.com/1171594 · Nota
• https://bugzilla.suse.com/1056094 · Nota
• https://suse.com/security/cve/CVE-2019-14858 · Nota
• https://suse.com/security/cve/CVE-2020-1736 · Nota
• https://suse.com/security/cve/CVE-2020-1735 · Nota
• https://osv.dev/vulnerability/USN-4430-2 · Aviso do Fabricante
• https://bugzilla.suse.com/1144453 · Nota
• https://bugzilla.suse.com/1175986 · Nota