CVE-2021-25288

Out-of-bounds read w Pillow — dekodowanie JPEG2000 (J2kDecode)

CVSS 9.1v3.1pub. 2021-06-02upd. 2024-11-21

W bibliotece Pillow przed wersją 8.2.0 odkryto podatność typu out-of-bounds read w funkcji dekodowania obrazów JPEG2000 (J2kDecode), konkretnie w procedurze j2ku_gray_i. Podatność otrzymała ocenę CVSS 9.1, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

An issue was discovered in Pillow before 8.2.0. There is an out-of-bounds read in J2kDecode, in j2ku_gray_i.

🤖 Analiza AI

Jak działa

Podczas przetwarzania specjalnie spreparowanego obrazu JPEG2000 w odcieniach szarości (tryb j2ku_gray_i) biblioteka odczytuje dane spoza przydzielonego bufora pamięci (CWE-125 — out-of-bounds read). Błąd wynika z niewystarczającej walidacji danych wejściowych w dekoderze J2kDecode. Atakujący może dostarczyć złośliwy plik obrazu, który zostanie przetworzony przez podatną wersję biblioteki.

Skutki

Atakujący może doprowadzić do ujawnienia zawartości pamięci procesu (naruszenie poufności) lub spowodować awarię aplikacji i odmowę usługi (naruszenie dostępności). Podatność jest dostępna zdalnie bez uwierzytelnienia i bez interakcji użytkownika.

Mitygacja

Należy zaktualizować bibliotekę Pillow do wersji 8.2.0 lub nowszej, w której podatność została usunięta. Użytkownicy dystrybucji Fedora powinni zastosować patche dostępne w oficjalnych repozytoriach pakietów.

Kogo dotyczy

Python Pillow w wersjach przed 8.2.0 oraz pakiety Pillow dostępne w dystrybucji Fedoraproject Fedora.

Uwagi

Podatność opisana w notatkach wydania Pillow 8.2.0 jako CVE-2021-25287 i CVE-2021-25288 — fix OOB read in jpeg2kdecode. Szczegóły dostępne w pull requeście #5377 w repozytorium python-pillow/Pillow.