CVE-2022-24303

Pillow: nieprawidłowa obsługa spacji w ścieżkach tymczasowych umożliwia usuwanie plików

CVSS 9.1v3.1pub. 2022-03-28upd. 2024-11-21

Biblioteka Pillow w wersjach przed 9.0.1 nieprawidłowo przetwarza spacje w tymczasowych ścieżkach plików, co pozwala atakującemu na usuwanie arbitralnych plików w systemie. Ze względu na sieciowy wektor ataku i brak wymaganych uprawnień podatność stanowi poważne zagrożenie dla integralności i dostępności danych.

▸ Pokaż oryginał (EN)

Pillow before 9.0.1 allows attackers to delete files because spaces in temporary pathnames are mishandled.

🤖 Analiza AI

Jak działa

Błąd polega na niepoprawnej obsłudze spacji w nazwach lub ścieżkach tymczasowych plików tworzonych przez bibliotekę Pillow podczas przetwarzania obrazów. Atakujący może wykorzystać tę nieprawidłowość do manipulacji ścieżkami w taki sposób, że operacje na plikach tymczasowych obejmą niezamierzone lokalizacje w systemie plików, prowadząc do usunięcia plików poza kontrolą aplikacji.

Skutki

Atakujący może doprowadzić do usunięcia dowolnych plików dostępnych w kontekście procesu uruchamiającego Pillow, co skutkuje utratą integralności danych i potencjalnym uniemożliwieniem działania systemu (denial of service).

Mitygacja

Należy zaktualizować bibliotekę Pillow do wersji 9.0.1 lub nowszej. Użytkownicy dystrybucji Fedora powinni zastosować patche dostępne w repozytoriach dystrybucji zgodnie z komunikatami bezpieczeństwa opublikowanymi na listach Fedora Project.