リモートのDebian 11ホストには、dla-4462アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4462-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 2 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージpillowバージョン 8.1.2+dfsg-0.3+deb11u3 CVE ID CVE-2021-23437 CVE-2022-24303 CVE-2022-45198

    Python 用の画像処理ライブラリである Pillow に複数の脆弱性が見つかりました。

    CVE-2021-23437

       getrgb 関数は ReDoS に脆弱です。

    CVE-2022-24303

       潜在的なパストラバーサルの脆弱性により、攻撃者がファイルを削除する可能性があります。

    CVE-2022-45198

       高度に圧縮された GIF データの不適切な処理により、展開爆弾が発生する可能性があります。

    Debian 11 Bullseyeでは、これらの問題はバージョン 8.1.2+dfsg-0.3+deb11u3 で修正されました。

    お使いの pillow のパッケージをアップグレードすることを推奨します。

    pillow の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/pillow

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04LTS / 22.04LTS ホストには、USN-5777-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 9.0.1より前の Pillow では、一時パス名のスペースが不適切に処理されるため、攻撃者がファイルを削除する可能性があります。
    (CVE-2022-24303)

  - 9.2.0 より前の Pillow が、高度に圧縮された GIF データの不適切な処理を実行します (データ増幅)。
    (CVE-2022-45198)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 20.04 ESM ホストには、USN-5777-2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    USN-5777-1 により、Pillow (Python 3) での脆弱性が修正されました。この更新では、Ubuntu 20.04 LTS の Pillow (Python 2) に対応する更新プログラムが提供されます。



Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2024:2908-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2022-45198: 高度に圧縮された GIF データの不適切な処理が修正されました (bsc#1205416)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2023-146 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 8.1.1 より前の Pillow で問題が発見されました。TiffDecode.cに、無効なサイズの負数のオフセットmemcpyがあります。（CVE-2021-25290）

  - 8.1.1より前のPillowで問題が発見されました。TiffDecode.cに、無効なタイル境界を介したTiffreadRGBATileでの領域外読み取りがあります。（CVE-2021-25291）

  - 8.1.1 より前の Pillow で問題が発見されました。SGIRleDecode.cに領域外読み取りがあります。
    (CVE-2021-25293)

  -  8.1.1より前のPillowでは、含まれているイメージの報告されたサイズがBLPコンテナに対して適切にチェックされておらず、試行されるメモリ割り当てが非常に大きくなる可能性があるため、攻撃者がサービス拒否（メモリ消費）を引き起こすことが可能です。（CVE-2021-27921）

  - 8.1.1より前のPillowでは、含まれているイメージの報告サイズがICNSコンテナに対して適切にチェックされておらず、試行されるメモリ割り当てが非常に大きくなる可能性があるため、攻撃者がサービス拒否（メモリ消費）を引き起こすことが可能です。（CVE-2021-27922）

  - 8.1.1より前の Pillow では、含まれているイメージの報告サイズが ICO コンテナに対して適切にチェックされておらず、試行されるメモリ割り当てが非常に大きくなる可能性があるため、攻撃者がサービス拒否（メモリ消費）を引き起こすことが可能です。（CVE-2021-27923）

  - 8.2.0 より前の Pillow で問題が発見されました。FLIデータの場合、FliDecodeは、ブロックアドバンスがゼロではないことを適切にチェックしていませんでした。これにより、ロード時に無限ループが発生する可能性があります。（CVE-2021-28676）

  - 8.2.0より前のPillowで問題が発見されました。EPSデータの場合、EPSImageFileで使用されるreadlineの実装は、 \rおよび\nの任意の組み合わせをラインエンディングとして処理する必要があります。これには、ラインエンディングを探すと同時に、偶発的に、行を累積する二次メソッドが使用されていました。悪意のあるEPSファイルがこれを利用して、画像を開くことが承認される前に、開くフェーズでPillowのDoSを実行する可能性があります。
    (CVE-2021-28677)

  -8.2.0までのPillowと1.1.7までのPIL（別名Python Imaging Library）により、攻撃者は制御パラメータを返還関数に直接渡し、Convert.cでのバッファオーバーフローをトリガーすることが可能です。
    (CVE-2021-34552)

  - 9.2.0 より前の Pillow が、高度に圧縮された GIF データの不適切な処理を実行します (データ増幅)。
    (CVE-2022-45198)

  - 9.3.0 より前の Pillow では、SAMPLESPERPIXEL を介したサービス拒否が可能です。(CVE-2022-45199)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
297500	Debian dla-4462 : python-pil-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/1	2026/2/1	high
168673	Ubuntu 20.04LTS / 22.04LTS : Pillowの脆弱性 (USN-5777-1)	Nessus	Ubuntu Local Security Checks	2022/12/13	2025/9/3	high
183719	Ubuntu 20.04 ESM : Pillow の脆弱性 (USN-5777-2)	Nessus	Ubuntu Local Security Checks	2023/10/23	2025/9/3	high
205567	SUSE SLES15 / openSUSE 15 セキュリティ更新 : python-Pillow (SUSE-SU-2024:2908-1)	Nessus	SuSE Local Security Checks	2024/8/15	2024/8/15	high
173344	Amazon Linux 2023 : python3-pillow, python3-pillow-devel, python3-pillow-tk (ALAS2023-2023-146)	Nessus	Amazon Linux Local Security Checks	2023/3/23	2024/12/11	critical

検出

プラグインの検索

high

high

high

high

critical