Pillow 13.0.0-ը շտկել է խոցելիություններ, որոնք որոշակի պայմաններում թույլ են տալիս հրամաններ կատարել կամ խափանել ծրագիրը։ Թարմացման համար անհրաժեշտ է նաև Python 3.11 կամ ավելի նոր տարբերակ։
Պատկերներ բացելու և մշակելու համար նախատեսված Python-ի Pillow գրադարանի 13.0.0 տարբերակը թողարկվել է 2026-ի հոկտեմբերի 16-ին։ Այն շտկել է խոցելիություններ, որոնք որոշակի պայմաններում հարձակվողներին թույլ են տալիս հրամաններ կատարել կամ խափանել ծառայությունը։ Հարձակման ուղիները The Hacker News-ը մանրամասնել է հոկտեմբերի 23-ի իր հրապարակման մեջ։ Խոցելի համակարգերի թվում են պատկերների վերբեռնում ընդունող ծառայությունները, սակայն վտանգի առկայությունը կախված է նրանից, թե դրանք ինչպես են բացում պատկերները, փոխում դրանց չափերը կամ պահպանում դրանք։
Խոցելիություններից մեկը վերաբերում է Pillow-ի 2.6.0-ից մինչև 12.3.0 տարբերակներին։ Այն կարող է գործարկվել ոչ թե պատկերի վնասաբեր բովանդակությամբ, այլ հարձակվողի վերահսկած ֆայլանվան միջոցով։ Մյուս խոցելիությունները կապված են հատուկ պատրաստված ֆայլ բացելու, մանրապատկեր ստեղծելու կամ պատկերը հիշողության մեջ պահպանելու հետ։ Հոկտեմբերի 23-ի հրապարակման դրությամբ հայտնի չէր, որ այս խոցելիություններից որևէ մեկն օգտագործվում է հարձակումների համար։
Հաղորդված հետևանքները տարբեր են։ Որոշ հետազոտողներ ցուցադրել են հրամանների կատարում, իսկ այլ փորձարկումներ հանգեցրել են ծրագրի խափանման։ Խոցելիություններից մի քանիսը կապված են բուֆերի գերլցման հետ․ այս դեպքում ծրագիրը տվյալներ է գրում դրանց համար հատկացված հիշողության սահմաններից դուրս։
| Մշակման գործողությունը | Անհրաժեշտ պայմանները | Հաղորդված հետևանքը |
|---|---|---|
| EPS-ի բացում — CVE-2026-112900 |
W27-ը պահպանել է Galaxy Z Fold 8 Ultra-ի հիմնական սարքավորումները։ Այն հասանելի է մուգ կարմիր կամ մուգ կապույտ գույներով, ոսկեգույն շեշտադրումներով և երկու տարբերակում էլ ունի 16 ԳԲ օպերատիվ հիշողություն։
2 րոպե
| Ghostscript-ը կարող է ֆայլանունն ընկալել որպես հրահանգներ, որոնք ուղղորդում են դեպի կատարման ենթակա հրամաններ պարունակող երկրորդ ֆայլ։ |
| FlashPix-ի (FPX) բացում | Տեղադրված է լրացուցիչ olefile փաթեթը, և հավելվածը հատուկ պատրաստված ֆայլը բացում է Image.open()-ով։ | Ցուցադրվել է, որ JPEG-ի ապակոդավորման ժամանակ բուֆերի գերլցումը թույլ է տալիս հենց այդ մեկ կանչով կատարել հարձակվողի հրամանը։ |
| JPEG-ի մանրապատկերի ստեղծում — CVE-2026-112403 | Հավելվածը հատուկ պատրաստված, առանց կորուստների սեղմված JPEG-ից ստեղծում է նախադիտման փոքր պատկեր։ | Անվտանգության ծանուցման համաձայն՝ բուֆերի գերլցումը հանգեցնում է խափանման, ոչ թե կոդի կատարման։ |
| TIFF-ի պահպանում — CVE-2026-112393 | Հավելվածը սեղմված TIFF-ը պահպանում է հիշողության մեջ, ոչ թե սկավառակի վրա գտնվող ֆայլում։ | Հետազոտողները կարողացել են խափանում առաջացնել, իսկ կոդի կատարման հասել են միայն այս խոցելիությունը հիշողության հասցեները բացահայտող մեկ այլ խոցելիության հետ համատեղելով։ Սկավառակի վրա իրական ֆայլում պահպանումը չի տուժում այս խոցելիությունից։ |
EPS պատկերների դեպքում Pillow-ը ֆայլանունը փոխանցում է Ghostscript-ին՝ առանձին ծրագրի, որը պատկերը վերածում է պիքսելների։ Հրապարակման մեջ որպես իրատեսական թիրախներ նկարագրված են վերբեռնման այն ծառայությունները, որոնք պահպանում են օգտատիրոջ տրամադրած ֆայլանունը կամ պահպանվող ֆայլի անունը կազմում են օգտատիրոջ մուտքագրած տվյալներից։ Նույնիսկ անվնաս EPS փաստաթուղթը կարող է գործարկել խոցելիությունը, եթե դրա ֆայլանունը վերահսկում է հարձակվողը։
FPX ֆայլերի դեպքում ընդլայնումը փոխելը չի վերացնում վտանգը․ Pillow-ը ձևաչափը ճանաչում է բովանդակությունից։ Եթե olefile-ը տեղադրված է, անվստահելի աղբյուրից վերբեռնված ֆայլ բացող սերվերը կարող է գործարկել հարձակումը՝ առանց օգտատիրոջ որևէ լրացուցիչ գործողության։ 2013-ից առկա TIFF-ի խոցելիությունը վերաբերում է մեկ այլ գործընթացի՝ ծառայություններին, որոնք վերբեռնված պատկերը վերադարձնելուց առաջ վերակոդավորում են հիշողության մեջ։
GitHub-ի տրամադրած խոցելիությունների գրառումներում EPS-ի, TIFF-ի և JPEG-ի մանրապատկերի խոցելիությունները գնահատված են 10-ից 9,2 միավորով՝ որպես կրիտիկական։ Pillow-ի մշակողները EPS-ի խոցելիությունը գնահատում են միջին վտանգավորության, քանի որ հարձակվողը պետք է վերահսկի ֆայլանունը։ Այս թողարկման խոցելիություններին նրանց տված գնահատականները տատանվում են ցածրից մինչև կրիտիկական․ JPEG-ի բուֆերի գերլցման շտկումները կրիտիկական խմբում են։ Հրապարակման համաձայն՝ նույն՝ ամենաբարձր խմբում է նաև մեկ այլ շտկում, որը վերաբերում է ռեժիմը փոխելուց հետո պատկերի հնացած տվյալների կրկնակի օգտագործմանը։
Հրապարակումը նկարագրում է TIFF-ի խոցելիության հրապարակային ցուցադրական օրինակ՝ հարձակման իրագործելիությունն ապացուցելու համար։ Դա տարբերվում է այնպիսի ապացույցից, որ հարձակվողներն այն օգտագործում են գործող համակարգերի դեմ։
The Hacker News-ը խորհուրդ է տալիս անցնել Pillow 13.0.0-ին և վերակազմել հին պատճեններ պարունակող կոնտեյներները, wheel փաթեթներն ու բազային պատկերները։ Pillow 13-ն այլևս չի աջակցում Python 3.10-ին, ուստի այդ տարբերակն օգտագործող համակարգերը պետք է անցնեն նաև Python 3.11-ի կամ ավելի նոր տարբերակի։
Մինչև թարմացնելու հնարավորություն լինի, Pillow-ի անվտանգության ուղեցույցն ու անվտանգության ծանուցումները, ըստ The Hacker News-ի փոխանցման, առաջարկում են հետևյալ նախազգուշական քայլերը․
Արբանյակային օպերատորը 2027–2034 թվականների ներդրման դիմաց ակնկալում է օգտվել OneWeb-ի ներկայիս թողունակությունից ավելի քան կրկնակի հզորությունից։ IRIS²-ի առաջին ծառայությունները սպասվում են 2030 թվականից։
3 րոպե
Սև, ոսկեգույն և կանաչ տարբերակի նախնական պատվերները սպառվել էին սեպտեմբերին։ Թողարկման օրը Nintendo-ի համալրած պաշարները նույնպես արագ սպառվել են։
1 րոպե
