PT-2020-5161 · Pillow+1 · Pillow+1

Radarhere · Publicado 2020-01-02 · Atualizado 2024-03-06 · CVE-2020-5310

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Pillow anteriores à 6.2.2

Descrição

O problema está relacionado a um estouro de inteiro na decodificação de TIFF no arquivo libImaging/TiffDecode.c da biblioteca Pillow. Esse estouro está associado à função realloc. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto causasse uma negação de serviço.

Recomendações

Para versões anteriores à 6.2.2, atualize para a versão 6.2.2 ou posterior para resolver o problema.

Como solução temporária, considere evitar o uso da função libImaging/TiffDecode.c para decodificação de TIFF até que um patch seja aplicado.

Correção

Integer Overflow

Heap Based Buffer Overflow

Enumeração de Fraquezas

CWE-190

CWE-122

Identificadores relacionados

BDU:2020-05772

BIT-PILLOW-2020-5310

CVE-2020-5310

GHSA-VCQG-3P29-XW73

MGASA-2020-0088

PYSEC-2020-81

USN-4272-1

Produtos afetados

Pillow

Ubuntu

Referências · 33

• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/commit/4e2def2539ec13e53a82e06c4b3daf00454100c4 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2020-81.yaml · Nota
• https://github.com/pypa/advisory-db/blob/7872b0a91b4d980f749e6d75a81f8cc1af32829f/vulns/pillow/PYSEC-2020-81.yaml · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/2MMU3WT2X64GS5WHDPKKC2WZA7UIIQ3A · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-5312 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-5310 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-5313 · Aviso do Fabricante
• https://github.com/advisories/GHSA-vcqg-3p29-xw73 · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2MMU3WT2X64GS5WHDPKKC2WZA7UIIQ3A · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2020-05772 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2020-5310 · Nota de Segurança
• https://advisories.mageia.org/MGASA-2020-0088.html · Nota de Segurança
• https://osv.dev/vulnerability/ALPINE-CVE-2020-5310 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2020-5310 · Nota