BDU:2020-05773 (CVE-2020-5311)

Уязвимость библиотеки для работы с изображениями Pillow, связанная с записью данных за границами буфера в памяти при кодировании изображений SGI в формат RLE, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2020-12-22

Описание

Уязвимость библиотеки для работы с изображениями Pillow связана с записью данных за границами буфера в памяти при кодировании изображений SGI в формат RLE. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Ubuntu (18.04 LTS)Red Hat Enterprise Linux (8)Fedora (30)Debian GNU/Linux (10)Fedora (31)Ubuntu (19.10)Red Hat Enterprise Linux (8.0 Update Services for SAP Solutions)Pillow (до 6.2.2)

Способ устранения

Использование рекомендаций:
https://pillow.readthedocs.io/en/stable/releasenotes/6.2.2.html

Для Ubuntu:
https://usn.ubuntu.com/4272-1/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/2MMU3WT2X64GS5WHDPKKC2WZA7UIIQ3A/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3DUMIBUYGJRAVJCTFUWBRLVQKOUTVX5P/

Для Debian:
https://www.debian.org/security/2020/dsa-4631

Для Red Hat:
https://access.redhat.com/security/cve/cve-2020-5311

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/2MMU3WT2X64GS5WHDPKKC2WZA7UIIQ3A/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3DUMIBUYGJRAVJCTFUWBRLVQKOUTVX5P/https://www.debian.org/security/2020/dsa-4631 https://access.redhat.com/security/cve/cve-2020-5311 https://pillow.readthedocs.io/en/stable/releasenotes/6.2.2.html https://usn.ubuntu.com/4272-1/

Проверьте безопасность своего сайта и почты → Полная проверка домена