- Yama var
- Son 7 gün
- CWE-400
- CWE-409
CVE-2026-96636
Pillow'da çok kareli MPO ve DCX dosyalarında seek ile dekompresyon-bombası korumasının atlatılması
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Pillow, Python için bir görüntü işleme kütüphanesidir. 13.0.0 sürümünden önce, MpoImageFile.seek ve DcxImageFile.seek fonksiyonları, sonraki MPO veya DCX karelerini yeniden ayrıştırıyor ve self._size değerini Image._decompression_bomb_check çalıştırılmadan değiştiriyordu. Özel hazırlanmış çok kareli bir görüntü, Image.open kontrolünden geçebilmek için küçük bir ilk kare kullanabilir ve ardından sınırı aşan bir sonraki kareyi bildirebilir. seek, load veya ImageSequence.Iterator üzerinden normal kare gezintisi sırasında bu kare çözümlenip yüzlerce megabayt veya daha fazla bellek ayrılabilir; bu da bellek tükenmesine bağlı hizmet dışı bırakma (denial of service) ile sonuçlanır. Bu sorun 13.0.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Pillow is a Python imaging library. Prior to 13.0.0, MpoImageFile.seek() and DcxImageFile.seek() reparse later MPO or DCX frames and replace self._size without rerunning Image._decompression_bomb_check(). A crafted multi-frame image can use a tiny first frame to pass Image.open() and then declare an over-limit later frame. Normal frame iteration through seek(), load(), or ImageSequence.Iterator can decode that frame and commit hundreds of megabytes or more, causing memory-exhaustion denial of service. This issue is fixed in version 13.0.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| python-pillow Pillow | < 13.0.0 | 13.0.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.