BDU:2020-05770 (CVE-2019-16865)

Уязвимость библиотеки для работы с изображениями Pillow, связанная с неограниченным распределением ресурсов, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2020-12-22

Описание

Уязвимость библиотеки для работы с изображениями Pillow связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально созданных фалов изображений

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Red Hat Enterprise Linux (8)Fedora (30)Ubuntu (14.04 ESM)Debian GNU/Linux (10)Fedora (31)Ubuntu (19.10)Red Hat Enterprise Linux (8.0 Update Services for SAP Solutions)Pillow (до 6.2.0)

Способ устранения

Использование рекомендаций:
https://pillow.readthedocs.io/en/latest/releasenotes/6.2.0.html

Для Debian:
https://www.debian.org/security/2020/dsa-4631

Для Ubuntu:
https://usn.ubuntu.com/4272-1/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EMJBUZQGQ2Q7HXYCQVRLU7OXNC7CAWWU/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/LYDXD7EE4YAEVSTNIFZKNVPRVJX5ZOG3/

Для Red Hat:
https://access.redhat.com/security/cve/CVE-2019-16865

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://usn.ubuntu.com/4272-1/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EMJBUZQGQ2Q7HXYCQVRLU7OXNC7CAWWU/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/LYDXD7EE4YAEVSTNIFZKNVPRVJX5ZOG3/https://access.redhat.com/security/cve/CVE-2019-16865 https://www.debian.org/security/2020/dsa-4631

Проверьте безопасность своего сайта и почты → Полная проверка домена