Pillow görüntü kitabxanasındakı kritik zəiflik hazırlanmış EPS fayl adı vasitəsilə kod icrasına imkan verir

Zəifliyin təfərrüatları

Pillow, Python üçün ən geniş istifadə olunan görüntü kitabxanası, EPS emalında kritik zəiflik ehtiva edir. EPS faylını açarkən Pillow fayl adını yoxlamadan Ghostscript proqramına ötürür. Fayl adına nəzarət edən hücumçu Ghostscript-in adı əmrlər kimi şərh etməsinə səbəb ola bilər və bu, ixtiyari kod icrasına gətirib çıxarır. Zəiflik CVE-2026-112900 kimi qeydə alınıb və Pillow-un 2.6.0-dan 12.3.0-a qədər versiyalarına təsir edir. Layihənin tərtibatçıları problemi aradan qaldırmaq üçün 13.0.0 versiyasını 16 oktyabrda buraxıblar.

Xəbərdarlıqda qeyd olunur ki, zəifliyi PostScript sənədindəki heç bir şey deyil, məhz fayl adı tetikləyir; bu o deməkdir ki, adı dəyişdirildikdə zərərsiz EPS faylı da təhlükəli ola bilər. Zəiflik yalnız gs proqramının quraşdırıldığı sistemlərdə tetiklənir, çünki Pillow EPS-i açmaq üçün məhz bu proqrama ehtiyac duyur.

Təsir və əhatə dairəsi

Pillow veb yükləmə formalarında, avatar və miniatür yaradılmasında, sənəd və PDF axınlarında və maşın öyrənməsi layihələrinin əksəriyyətində istifadə olunur. OX Security-nin qiymətləndirməsinə görə, kitabxana ayda təxminən 436 milyon dəfə endirilir. 13.0.0 versiyası dörd ciddilik səviyyəsi üzrə düzəlişləri əhatə edən böyük təhlükəsizlik buraxılışıdır və onlardan ikisi tərtibatçılar tərəfindən kritik qiymətləndirilir. CVE qeydində EPS zəifliyi 10 baldan 9,2 balla qiymətləndirilir, tərtibatçılar isə onu orta səviyyəli hesab edirlər, çünki hücumçu fayl adına nəzarət etməlidir. EPS zəifliyindən real şəraitdə istifadə halları qeydə alınmayıb.

Həmin buraxılışdakı əlavə kritik düzəlişlər rejim dəyişikliyindən sonra yaddaşın təkrar istifadəsi xətasını, JPEG dekodlamasında iki daşmanı və 2013-cü ildən bəri mövcud olan TIFF bufer daşmasını aradan qaldırır. FlashPix formatındakı JPEG daşması, isteğe bağlı olefile paketi quraşdırıldıqda, Image.open-a edilən tək çağırışla kod icrasına nail olmağa imkan verir. TIFF daşması sıxılmış TIFF io.BytesIO kimi yaddaşdaxili buferə saxlanarkən baş verir və bu, yükləmələri yenidən kodlayan xidmətlər üçün adi haldır.

Azaltma addımları

Pillow 13.0.0-a yeniləyin və köhnə nüsxəni ehtiva edən bütün konteynerləri, wheel paketlərini və ya baza obrazlarını yenidən qurun. Pillow 13 Python 3.10 dəstəyini dayandırır, buna görə hələ də 3.10-da olan mühitlər Python 3.11 və ya daha yeni versiyaya keçməlidir. Yeniləmə əmri: pip install -U "Pillow>=13.0.0".

Dərhal yeniləmə mümkün deyilsə, aşağıdakı tədbirlər riski azaldır: etibarsız yükləmələri emal edən hostlarda gs proqramını saxlamayın və EPS faylları üçün heç vaxt hücumçunun nəzarət etdiyi fayl adını Image.open-a ötürməyin; etibarsız JPEG-lərdə draft() və thumbnail() funksiyalarından istifadə etməyin, ya əvvəlcə load() çağırın, ya da reducing_gap=None ötürün; görüntü istifadəçidən gəldikdə TIFF-in yaddaşdaxili buferə saxlanmasına həssas əməliyyat kimi yanaşın.

Mənbələr: The Hacker News