PT-2021-6817 · Pillow+6 · Pillow+6

Liyuan Chen · Publicado 2021-09-03 · Atualizado 2024-06-15 · CVE-2021-23437

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Pillow de 5.2.0 a 8.3.2

Versões do Pillow anteriores à 8.3.2

Descrição

O problema está relacionado a uma negação de serviço por expressão regular (ReDoS) por meio da função getrgb, o que pode levar ao consumo descontrolado de recursos. Isso permite que um invasor remoto cause uma negação de serviço.

Recomendações

Para as versões do Pillow 5.2.0 a 8.3.2, atualize para uma versão posterior à 8.3.2 para resolver o problema.

Para as versões do Pillow anteriores à 8.3.2, atualize para uma versão posterior à 8.3.2 para resolver o problema.

Como solução temporária, considere desativar a função getrgb até que um patch esteja disponível.

Exploit

Correção

DoS

Resource Exhaustion

Out of bounds Read

Enumeração de Fraquezas

CWE-400

CWE-125

Identificadores relacionados

ALT-PU-2021-3028

ALT-PU-2023-7942

ALT-PU-2023-8182

BDU:2022-02242

BIT-PILLOW-2021-23437

CVE-2021-23437

DLA-3768-1

GHSA-98VV-PW6R-Q6Q4

MGASA-2021-0448

OESA-2021-1383

OPENSUSE-SU-2024:11209-1

OPENSUSE-SU-2024:13827-1

OPENSUSE-SU-2024_1673-1

PYSEC-2021-317

SNYK-PYTHON-PILLOW-1319443

SUSE-SU-2021:3234-1

SUSE-SU-2021:3235-1

SUSE-SU-2024:1673-1

SUSE-SU-2024:1673-2

USN-5227-1

USN-5227-2

Produtos afetados

Alt Linux

Astra Linux

Debian

Linuxmint

Pillow

Suse

Ubuntu

Referências · 93

• 🔥 https://snyk.io/vuln/SNYK-PYTHON-PILLOW-1319443 · Exploit
• https://github.com/python-pillow/Pillow/commit/9e08eb8f78fdfd2f476e1b20b7cf38683754866b · Correção
• https://github.com/python-pillow/Pillow · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2021-317.yaml · Nota
• https://bugzilla.suse.com/1188574 · Nota
• https://suse.com/security/cve/CVE-2020-15999 · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/RNSG6VFXTAROGF7ACYLMAZNQV4EJ6I2C · Aviso do Fabricante
• https://suse.com/support/update/announcement/2024/suse-su-20241673-1 · Nota
• https://osv.dev/vulnerability/CVE-2021-23437 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202211-10 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2020-35655 · Nota
• https://bugzilla.suse.com/1183105 · Nota
• https://suse.com/security/cve/CVE-2014-3589 · Nota
• https://suse.com/security/cve/CVE-2016-0775 · Nota
• https://security-tracker.debian.org/tracker/CVE-2021-23437 · Aviso do Fabricante