Falha crítica no Pillow expõe servidores Python a invasões
Vulnerabilidade na biblioteca Pillow permite execução remota de códigos; usuários devem atualizar para a versão 13.0.0 imediatamente.
Pontos principais
- A falha permite que invasores assumam o controle de servidores ao processar arquivos com nomes maliciosos.
- O problema ocorre devido à falta de validação de nomes de arquivos enviados ao Ghostscript no formato EPS.
- A atualização para a versão 13.0.0 do Pillow é a recomendação oficial para mitigar o risco.
- Outras vulnerabilidades corrigidas incluem falhas de travamento ao redimensionar imagens JPEG e erros de memória.
Uma vulnerabilidade crítica na biblioteca Pillow, amplamente utilizada na linguagem Python, foi identificada e expõe servidores a riscos graves de segurança. A falha permite que invasores executem códigos remotamente e assumam o controle de sistemas ao processar arquivos maliciosos, especialmente aqueles no formato EPS, devido à ausência de validação adequada antes do envio ao programa Ghostscript. Além deste risco, a atualização corrige problemas adicionais, como falhas de travamento ao redimensionar imagens JPEG e erros no gerenciamento de memória temporária.
A recomendação oficial dos desenvolvedores é a atualização imediata para o Pillow 13.0.0, que também encerra o suporte a versões legadas do Python. Caso a atualização não possa ser aplicada prontamente, especialistas sugerem a desinstalação do Ghostscript e a interrupção da criação de miniaturas a partir de arquivos de fontes desconhecidas para evitar possíveis explorações da vulnerabilidade.
Cobertura da mídia
Comentários (0)
Seja o primeiro a comentar.