リモートホストにインストールされている python-pillow のバージョンは、2.0.0-23.gitd1c6db8 より前です。したがって、ALAS2-2026-3839 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Pillow は Python イメージングライブラリです。12.3.0より前では、Pillowがファイル名からmmapのrawコーデックパスを介して非圧縮のMcIdas AREA画像を読み込むとき、攻撃者が制御するヘッダーワードが自然な行幅よりも小さい行ストライドを設定する可能性があり、Image.tobytes()、getpixel、convert、saveなどのピクセルアクセスが、マッピングされた領域を超えて読み取り、隣接するプロセスメモリまたは障害を漏えいする可能性があります。この問題はバージョン 12.3.0 で修正されています。(CVE-2026-54058)

    Pillow は Python イメージングライブラリです。12.3.0より前のバージョンでは、Pillow のパブリック rank-filter API は、非常に大きな奇数フィルターサイズが与えられた場合に、ネイティブヒープの領域外書き込みをトリガーする可能性があります。これは、ImageFilter.RankFilter.filter() が rank-filter サイズ検証の前に image.expand(size // 2, size // 2) を呼び出し、ImagingExpand() がチェックされていない符号付き整数算術を使用して出力寸法を計算するためです。この問題はバージョン 12.3.0 で修正されています。
    (CVE-2026-59197)

    Pillow は Python イメージングライブラリです。12.3.0より前のバージョンでは、Pillowのパブリック画像座標APIは、Image.paste()、Image.crop()、またはImage.alpha_composite()の符号付き32ビット整数制限付近で座標が与えられたときに、ネイティブヒープの領域外書き込みをトリガーする可能性があります。この問題はバージョン 12.3.0 で修正されています。
    (CVE-2026-59199)

    Pillow は Python イメージングライブラリです。12.3.0より前のバージョンでは、呼び出し元が変換の宣言された出力モードと一致しない出力画像を提供すると、PillowのImageCms.ImageCmsTransform.apply(im, imOut)APIは、制御されたネイティブヒープ破損をトリガーする可能性があります。この問題はバージョン 12.3.0 で修正されています。(CVE-2026-59205)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2:python-pillow、 --advisory ALAS2-2026-3839 (ALAS-2026-3839)

high Nessus プラグイン ID 331978

バージョン 1.1