- Son 7 gün
- CWE-125
- CWE-787
CVE-2026-96639
Pillow çoklu kare yükleyicilerinde bayat yerel görüntü belleğinin yeniden kullanımı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, Pillow kütüphanesini kullanan uygulamaların kötü niyetli görüntü dosyaları işleyerek sunucuyu çökertmesine veya uzaktan kontrol edilmesine yol açabilir. Etkilenen sistemler kritik risk altındadır ve kısa sürede güncellenmesi önerilir.
ÖzetTürkçe
Pillow, Python için bir görüntü işleme kütüphanesidir. 11.0.0 ile 13.0.0 sürümleri arasındaki çoklu kare (multi-frame) yükleyicilerde, dar bir kare modu için ayrılmış yerel bellek, aynı boyutlu sonraki bir karede geniş RGB veya CMYK verisine geçildiğinde de tutulmaya devam edebilir. load_prepare fonksiyonu bu belleğin mod ve boyutunun hâlâ uygun olup olmadığını doğrulamadan yeniden kullandığı için hata oluşur. Hazırlanmış PSD, MPO, DCX veya MIC dosyaları bu durumu tetikleyebilir.
Saldırgan ne yapabilir?
Bir saldırgan, yerel bellek sınırları dışına veri yazarak uygulamanın çökmesine neden olabilir; MPO yolunda bellek okuma taşması ve bazı çalışma zamanı yapılandırmalarında komut çalıştırma mümkündür.
Kaynaktaki açıklama (İngilizce)
Pillow is a Python imaging library. From 11.0.0 until 13.0.0, multi-frame loaders can retain an ImagingCore allocation created for a narrow frame mode while a later frame of the same dimensions changes the logical mode and decoder tiles to wider RGB or CMYK data. ImageFile.load_prepare() reuses the stale native storage because _im is non-null without verifying that its mode and size still match. Crafted PSD, MPO, DCX, or MIC frame transitions can then write wider pixels into the narrow allocation, causing native out-of-bounds writes and crashes. The MPO path can also cause a native over-read and, in demonstrated runtime-specific profiles, command execution. This issue is fixed in version 13.0.0.
Ne yapmalı?
- Pillow kütüphanesini 13.0.0 veya daha yeni bir sürüme yükseltin. Genel öneri
- Yükseltme yapılana kadar, güvenilmeyen kaynaklardan gelen PSD, MPO, DCX ve MIC dosyalarının işlenmesini geçici olarak durdurun. Genel öneri
- Güncellemeden sonra Pillow kullanan uygulamaları yeniden başlatın ve sürümü doğrulayın. Genel öneri
Ek önlemler
- Görüntü işleyen uygulamaları ayrı bir süreçte veya kapsayıcıda çalıştırarak olası etkiyi sınırlayın. Genel öneri
- Uygulamanın çökme kayıtlarını ve beklenmeyen süreç davranışlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| python-pillow Pillow | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.