リモートの Debian 10 ホストには、dla-3768 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 5.2.0 および 8.3.2 より前の pillow パッケージは、getrgb 関数による正規表現のサービス拒否 (ReDoS) に対して脆弱です。(CVE-2021-23437)

  - 9.0.0より前の Pillow の PIL.ImageMath.eval では、Python exec メソッドを使用する式など、任意の式を評価できます。ラムダ式も使用できます。(CVE-2022-22817)

  - 10.0.0より前の Pillow で問題が発見されました。与えられたタスクを処理するためにメモリを制御できない状態で割り当てるのは、サービス拒否の一種です。メモリを使い果たすことで、サービスのクラッシュを引き起こす可能性があります。
    これは、ImageDraw インスタンスの textlength が長いテキスト引数で動作するとき、ImageFont の truetype で発生します。(CVE-2023-44271)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian dla-3768 : python-pil - セキュリティ更新

critical Nessus プラグイン ID 192475

バージョン 1.0