したがって、ALAS2023-2023-057 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 9.0.0より前の Pillow の path.c の path_getbbox で、ImagePath.Path の初期化中にバッファオーバーリードが発生します。(CVE-2022-22816)

  - 9.0.0より前の Pillow の PIL.ImageMath.eval では、Python exec メソッドを使用する式など、任意の式を評価できます。ラムダ式も使用できます (CVE-2022-22817)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux 2023 : python3-pillow, python3-pillow-devel, python3-pillow-tk (ALAS2023-2023-057)

critical Nessus プラグイン ID 173181

バージョン 1.0