PT-2022-6569 · Pillow+6 · Pillow+6

Risicle · Publicado 2022-07-21 · Atualizado 2024-08-18 · CVE-2022-45198

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Pillow anteriores à 9.2.0

Descrição

O problema está relacionado ao tratamento inadequado de dados GIF altamente compactados, o que pode levar à amplificação de dados. Isso pode ser explorado por um invasor remoto para realizar um ataque de negação de serviço (DoS) usando um arquivo GIF especialmente criado.

Recomendações

Para versões do Pillow anteriores à 9.2.0, atualize para a versão 9.2.0 ou posterior para resolver o problema. Como solução temporária, considere evitar o uso de dados GIF altamente compactados até que a atualização seja aplicada.

Correção

Enumeração de Fraquezas

CWE-409

CWE-399

Identificadores relacionados

ALT-PU-2022-2284

ALT-PU-2023-7942

ALT-PU-2023-8182

BDU:2023-02447

BIT-PILLOW-2022-45198

CVE-2022-45198

GHSA-M2VV-5VJ5-2HM7

MGASA-2023-0164

OESA-2023-1923

OPENSUSE-SU-2024:0253-1

PYSEC-2022-42979

SUSE-SU-2024:2908-1

USN-5777-1

USN-5777-2

Produtos afetados

Alt Linux

Astra Linux

Debian

Linuxmint

Pillow

Red Os

Ubuntu

Referências · 46

• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/commit/11918eac0628ec8ac0812670d9838361ead2d6a4 · Correção
• https://github.com/python-pillow/Pillow/pull/6402 · Correção
• https://github.com/python-pillow/Pillow/releases/tag/9.2.0 · Nota
• https://github.com/python-pillow/Pillow/releases/tag/9.1.1 · Nota
• https://github.com/python-pillow/Pillow/pull/6402/commits/c9f1b35e981075110a23487a8d4a6cbb59a588ea · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2022-42979.yaml · Nota
• https://bugs.mageia.org/show_bug.cgi?id=31019 · Nota
• https://osv.dev/vulnerability/SUSE-SU-2024:2908-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-45198 · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2023-0164.html · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2022-45198 · Nota de Segurança
• https://ubuntu.com/security/notices/USN-5777-2 · Aviso do Fabricante
• https://altsp.su/obnovleniya-bezopasnosti · Nota
• https://osv.dev/vulnerability/GHSA-m2vv-5vj5-2hm7 · Aviso do Fabricante