Pillow պատկերների գրադարանի կրիտիկական խոցելիությունը թույլ է տալիս կոդ կատարել կեղծված EPS ֆայլի անվան միջոցով

Խոցելիության մանրամասներ

Pillow-ը՝ Python-ի համար ամենալայն օգտագործվող պատկերների գրադարանը, պարունակում է կրիտիկական խոցելիություն EPS մշակման մեջ։ EPS ֆայլ բացելիս Pillow-ը ֆայլի անունը փոխանցում է Ghostscript ծրագրին առանց ստուգման։ Հարձակվողը, որը վերահսկում է ֆայլի անունը, կարող է ստիպել Ghostscript-ին անունը մեկնաբանել որպես հրամաններ, ինչը հանգեցնում է կամայական կոդի կատարման։ Խոցելիությունը գրանցված է որպես CVE-2026-112900 և ազդում է Pillow-ի 2.6.0-ից մինչև 12.3.0 տարբերակների վրա։ Պահպանողները թողարկել են 13.0.0 տարբերակը հոկտեմբերի 16-ին՝ խնդիրը լուծելու համար։

Խորհրդատվության մեջ նշվում է, որ խոցելիությունը հրահրվում է ֆայլի անվան պատճառով, այլ ոչ թե PostScript փաստաթղթի որևէ բովանդակությամբ, ինչը նշանակում է, որ անվնաս EPS ֆայլը կարող է վտանգավոր դառնալ, երբ անունը կեղծվում է։ Խոցելիությունը հրահրվում է միայն այն համակարգերում, որտեղ տեղադրված է gs ծրագիրը, որը պահանջվում է EPS աջակցության համար։

Ազդեցությունը և շրջանակը

Pillow-ը օգտագործվում է վեբ վերբեռնման ձևերում, ավատարների և մանրապատկերների ստեղծման, փաստաթղթերի և PDF հոսքագծերի, ինչպես նաև մեքենայական ուսուցման նախագծերի մեծ մասում։ OX Security-ն գնահատում է, որ գրադարանը ներբեռնվում է ամսական մոտ 436 միլիոն անգամ։ 13.0.0 տարբերակը մեծ անվտանգության թողարկում է, որը ներառում է ուղղումներ չորս լրջության մակարդակներում, որոնցից երկուսը պահպանողները գնահատում են որպես կրիտիկական։ CVE գրառումը EPS խոցելիությունը գնահատում է 10-ից 9.2, մինչդեռ պահպանողները այն գնահատում են չափավոր, քանի որ հարձակվողը պետք է վերահսկի ֆայլի անունը։ Բնական միջավայրում EPS խոցելիության շահագործում չի նկատվել։

Նույն թողարկման լրացուցիչ կրիտիկական ուղղումները վերացնում են ռեժիմի փոփոխությունից հետո հիշողության վերօգտագործման սխալը, JPEG ապակոդավորման երկու գերահոսքը և 2013 թվականից առկա TIFF բուֆերի երկարատև գերահոսքը։ FlashPix ձևաչափում JPEG գերահոսքը կարող է հասնել կոդի կատարման Image.open-ի մեկ կանչով, երբ տեղադրված է ոչ պարտադիր olefile փաթեթը։ TIFF գերահոսքը տեղի է ունենում սեղմված TIFF-ը հիշողության բուֆերում՝ օրինակ io.BytesIO-ում, պահելիս, ինչը սովորական օրինաչափություն է վերբեռնումները վերակոդավորող ծառայությունների համար։

Մեղմացման քայլեր

Թարմացրեք Pillow-ը մինչև 13.0.0 և վերակառուցեք ցանկացած կոնտեյներ, wheel փաթեթներ կամ բազային պատկերներ, որոնք ներառում են հին պատճեն։ Pillow 13-ը դադարեցնում է Python 3.10-ի աջակցությունը, ուստի 3.10-ում մնացած միջավայրերը պետք է անցնեն Python 3.11 կամ ավելի նոր տարբերակի։ Թարմացման հրամանն է pip install -U "Pillow>=13.0.0"։

Եթե անհապաղ թարմացումը հնարավոր չէ, հետևյալ մեղմացումները նվազեցնում են ռիսկը. gs ծրագիրը հեռու պահեք անվստահելի վերբեռնումներ մշակող հոսթերից և երբեք չփոխանցեք հարձակվողի կողմից վերահսկվող ֆայլի անուն Image.open-ին EPS ֆայլերի համար. խուսափեք draft() և thumbnail() ֆունկցիաները անվստահելի JPEG-ների վրա օգտագործելուց, կամ նախ կանչեք load(), կամ փոխանցեք reducing_gap=None։ TIFF-ը հիշողության բուֆերում պահելը դիտեք որպես զգայուն գործողություն, երբ պատկերը ստացվում է օգտվողից։

Աղբյուրներ: The Hacker News