PT-2025-27574 · Pillow+1 · Pillow+1

Radarhere · Publicado 2025-07-01 · Atualizado 2025-10-29 · CVE-2025-48379

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Versões do Pillow 11.2.0 a 11.2.x

Descrição: O problema é um estouro de buffer na heap que ocorre ao escrever uma imagem suficientemente grande no formato DDS. Isso acontece porque a biblioteca escreve em um buffer sem verificar o espaço disponível. A questão afeta apenas usuários que salvam dados não confiáveis como uma imagem DDS compactada.

Recomendações: Para as versões do Pillow 11.2.0 a 11.2.x, atualize para a versão 11.3.0 para resolver o problema. Como medida temporária, considere evitar salvar dados não confiáveis como imagens DDS compactadas até que a atualização seja aplicada.

Exploit

Correção

Heap Based Buffer Overflow

Enumeração de Fraquezas

CWE-122

Identificadores relacionados

ALT-PU-2025-13082

BDU:2026-00152

BIT-PILLOW-2025-48379

CVE-2025-48379

GHSA-XG8H-J46F-W952

OPENSUSE-SU-2025:15316-1

PYSEC-2025-61

Produtos afetados

Alt Linux

Pillow

Referências · 20

• 🔥 https://github.com/python-pillow/Pillow/pull/9041 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/48xxx/CVE-2025-48379.json · Exploit
• https://github.com/python-pillow/Pillow · Nota
• https://github.com/python-pillow/Pillow/commit/ef98b3510e3e4f14b547762764813d7e5ca3c5a4 · Correção
• https://github.com/python-pillow/Pillow/security/advisories/GHSA-xg8h-j46f-w952 · Aviso do Fabricante
• https://github.com/python-pillow/Pillow/releases/tag/11.3.0 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2025-61.yaml · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2025:15316-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-48379 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-48379 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2025-61 · Aviso do Fabricante
• https://twitter.com/vulert_official/status/1940298339788198148 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-48379 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-48379 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-48379 · Nota de Segurança