PT-2021-16501 · Pillow+8 · Pillow+8

Publicado 2021-05-10 · Atualizado 2026-03-31 · CVE-2021-25287

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Pillow anteriores à 8.2.0

Descrição:

Foi detectada uma falha no Pillow, na qual ocorre uma leitura fora dos limites no J2kDecode, especificamente nas funções j2ku graya la e j2ku gray i. Essa falha remonta à versão 2.4.0 do Pillow.

Recomendações:

Para versões do Pillow anteriores à 8.2.0, atualize para a versão 8.2.0 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o uso da função J2kDecode até que um patch esteja disponível.

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

ALSA-2021:4149

ALT-PU-2021-2460

ALT-PU-2023-7942

ALT-PU-2023-8182

BIT-PILLOW-2021-25287

BIT-PILLOW-2021-25288

CESA-2021_4149

CVE-2021-25287

GHSA-77GC-V2XV-RVVH

GHSA-RWV7-3V45-HG29

MGASA-2021-0389

OPENSUSE-SU-2024_1607-1

PYSEC-2021-137

PYSEC-2021-138

RHSA-2021:4149

RHSA-2021_4149

RLSA-2021:4149

SUSE-SU-2021:1938-1

SUSE-SU-2021:1939-1

SUSE-SU-2021:1940-1

SUSE-SU-2024:1607-1

USN-4963-1

USN-8135-1

Produtos afetados

Alt Linux

Almalinux

Centos

Linuxmint

Pillow

Red Hat

Rocky Linux

Suse

Ubuntu

Referências · 118

• https://github.com/python-pillow/Pillow/pull/5377#issuecomment-833821470 · Nota
• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/pull/5377/commits/3bf5eddb89afdf690eceaa52bc4d3546ba9a5f87 · Nota
• https://github.com/python-pillow/Pillow/commit/3bf5eddb89afdf690eceaa52bc4d3546ba9a5f87 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2021-138.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2021-137.yaml · Nota
• https://suse.com/security/cve/CVE-2021-27921 · Nota
• https://ubuntu.com/security/CVE-2023-50447 · Aviso do Fabricante
• https://osv.dev/vulnerability/SUSE-SU-2021:1938-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-28676 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-25287 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-25287 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2021-27922 · Nota
• https://vulners.com/cve/CVE-2021-25287 · Nota
• https://bugzilla.suse.com/1185784 · Nota