PT-2021-17898 · Pillow+9 · Pillow+9

CVE-2021-28675 · Publicado 2021-04-01 · Atualizado 2026-03-31

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

Versões do Pillow anteriores à 8.2.0

Descrição:

Foi detectada uma falha no Pillow em que o PSDImagePlugin.PsdImageFile não realizava uma verificação de validade do número de camadas de entrada em relação ao tamanho do bloco de dados. Isso poderia levar a um ataque de Negação de Serviço (DoS) no Image.open antes do Image.load.

Recomendações:

Para versões do Pillow anteriores à 8.2.0, atualize para a versão 8.2.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de PSDImagePlugin.PsdImageFile até que um patch esteja disponível.

Correção

DoS

Unchecked Return Value

Enumeração de Fraquezas

CWE-252

CWE-233

Identificadores relacionados

ALSA-2021:4149

ALT-PU-2021-2460

ALT-PU-2023-7942

ALT-PU-2023-8182

BDU:2025-04190

BIT-PILLOW-2021-28675

CESA-2021_4149

CVE-2021-28675

GHSA-G6RJ-RV7J-XWP4

MGASA-2021-0389

OPENSUSE-SU-2024_1607-1

PYSEC-2021-139

RHSA-2021:4149

RHSA-2021_4149

RLSA-2021:4149

SUSE-SU-2021:1938-1

SUSE-SU-2021:1939-1

SUSE-SU-2021:1940-1

SUSE-SU-2024:1607-1

USN-4963-1

USN-8135-1

Produtos afetados

Alt Linux

Almalinux

Astra Linux

Centos

Linuxmint

Pillow

Red Hat

Rocky Linux

Suse

Ubuntu

Referências · 111

• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/commit/22e9bee4ef225c0edbb9323f94c26cee0c623497 · Nota
• https://github.com/python-pillow/Pillow/pull/5377/commits/22e9bee4ef225c0edbb9323f94c26cee0c623497 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2021-139.yaml · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-28675 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MQHA5HAIBOYI3R6HDWCLAGFTIQP767FL · Aviso do Fabricante
• https://bugzilla.suse.com/1180834 · Nota
• https://suse.com/security/cve/CVE-2021-27921 · Nota
• https://t.me/cvenotify/17652 · Publicação no Telegram
• https://github.com/advisories/GHSA-g6rj-rv7j-xwp4 · Nota
• https://ubuntu.com/security/CVE-2021-25288 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202107-33 · Aviso do Fabricante
• https://vulners.com/cve/CVE-2021-28677 · Nota
• https://suse.com/security/cve/CVE-2021-25293 · Nota
• https://bugzilla.suse.com/1185805 · Nota