リモートの Ubuntu 18.04LTS/20.04 LTS/21.04/21.10ホストにUSN-5227-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.2.0 および 8.3.2 より前の pillow パッケージは、getrgb 関数による正規表現のサービス拒否 (ReDoS) に対して脆弱です。(CVE-2021-23437)

  -8.2.0までのPillowと1.1.7までのPIL（別名Python Imaging Library）により、攻撃者は制御パラメータを返還関数に直接渡し、Convert.cでのバッファオーバーフローをトリガーすることが可能です。
    (CVE-2021-34552)

  - 9.0.0 より前の Pillow の path.c の path_getbbox が ImagePath.Path を不適切に初期化します。(CVE-2022-22815)

  - 9.0.0 より前の Pillow の path.c の path_getbbox で、ImagePath.Path の初期化中にバッファオーバーリードが発生します。(CVE-2022-22816)

  - 9.0.0 より前の Pillow の PIL.ImageMath.eval では、Python exec メソッドを使用する式など、任意の式を評価できます。(CVE-2022-22817)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Ubuntu 18.04 LTS / 20.04 LTS : Pillowの脆弱性 (USN-5227-1)

critical Nessus プラグイン ID 156742

バージョン 1.4