Pillowが、特定の画像を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、サービス拒否を引き起こす可能性があります。
(CVE-2019-16865、CVE-2019-19911) 

Pillowが、特定の画像を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。
(CVE-2020-5312)

Pillowが、特定のTIFF画像を不適切に処理することがわかりました。
攻撃者がこの問題を悪用して、クラッシュを引き起こす可能性があります。この問題の影響を受けるのは Ubuntu 19.10のみです。(CVE-2020-5310) 

Pillowが、特定のSGI画像を不適切に処理することがわかりました。
攻撃者がこの問題を悪用して、任意のコードを実行したり、クラッシュを引き起こしたりする可能性があります。この問題の影響を受けるのは、Ubuntu 18.04とUbuntu 19.10のみです。
(CVE-2020-5311)

Pillowが、特定のPCX画像を不適切に処理することがわかりました。
攻撃者がこの問題を悪用して、任意のコードを実行したり、クラッシュを引き起こしたりする可能性があります。(CVE-2020-5312)

Pillowが、特定のFlip画像を不適切に処理することがわかりました。
攻撃者がこの問題を悪用して、任意のコードを実行したり、クラッシュを引き起こしたりする可能性があります。(CVE-2020-5313)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Red Hatセキュリティアドバイザリ2020:0580から:

python-pillow用の更新が、Red Hat Enterprise Linux 8で利用できるようになりました。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

python-pillowパッケージには、Pythonの画像処理ライブラリがあり、拡張ファイルフォーマットのサポート、効率的な内部表現、強力な画像処理機能が提供されます。

セキュリティ修正プログラム:

* python-pillow: libImaging/ SgiRleDecode.cのexpandrowでの領域外書き込み（CVE-2020-5311）

* python-pillow: libImaging/PcxDecode.cのメモリバッファでの不適切に制限された操作（CVE-2020-5312）

* python-pillow: 特別に細工された画像ファイルを読み取ることで大量のメモリ割り当てとサービス拒否が発生（CVE-2019-16865）

影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 0580アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-pillow: 特別に細工された画像ファイルを読み取ることで大量のメモリ割り当てとサービス拒否が発生（CVE-2019-16865）

  - python-pillow: libImaging/SgiRleDecode.cのexpandrowでの領域外書き込み（CVE-2020-5311）

  - python-pillow: libImaging/PcxDecode.cのメモリバッファでの不適切に制限された操作（CVE-2020-5312）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2020: 0580アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-pillow: 特別に細工された画像ファイルを読み取ることで大量のメモリ割り当てとサービス拒否が発生（CVE-2019-16865）

  - python-pillow: libImaging/SgiRleDecode.cのexpandrowでの領域外書き込み（CVE-2020-5311）

  - python-pillow: libImaging/PcxDecode.cのメモリバッファでの不適切に制限された操作（CVE-2020-5312）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Pillow開発者による報告: 

このリリースでは、いくつかのセキュリティ問題とCVE-2019-19911に対処しています。

CVE-2019-19911はFPXイメージに関するものです。画像に多数のバンドがあることが報告された場合、画像を処理しようとする際に大量のリソースが使用されます。これは、Pillowが使用できるバンド数に制限することで修正されています。

SGI、PCX、またはFLIイメージを処理する際に、バッファオーバーランが見つかりました。
これを防ぐためのチェックが追加されました。

TIFF画像の処理で再割り当てされるメモリブロックのサイズを計算する際に、オーバーフローチェックが追加されました。

Python画像処理ライブラリ Pillowに、セキュリティ上の複数の問題が見つかりました。それにより、無効な形式の PCX、FLI、SGI、またはTIFF画像の処理において、サービス拒否や任意コード実行が引き起こされる可能性がありました。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 0566アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - python-pillow: 特別に細工された画像ファイルを読み取ることで大量のメモリ割り当てとサービス拒否が発生（CVE-2019-16865）

  - python-pillow: libImaging/SgiRleDecode.cのexpandrowでの領域外書き込み（CVE-2020-5311）

  - python-pillow: libImaging/PcxDecode.cのメモリバッファでの不適切に制限された操作（CVE-2020-5312）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

6.2.2に更新し、CVE-2020-5313、CVE-2020-5312、CVE-2020-5311、CVE-2020-5310を修正してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2020-5313、CVE-2020-5312、CVE-2020-5311、CVE-2020-5310、CVE-2019-19911のバックポートパッチ 

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133550	Ubuntu 16.04 LTS / 18.04 LTS : Pillowの脆弱性 (USN-4272-1)	Nessus	Ubuntu Local Security Checks	2020/2/7	2025/9/3	critical
134059	Oracle Linux 8：python-pillow（ELSA-2020-0580）	Nessus	Oracle Linux Local Security Checks	2020/2/26	2024/10/23	critical
134034	RHEL 8: python-pillow（RHSA-2020: 0580)	Nessus	Red Hat Local Security Checks	2020/2/25	2024/11/7	critical
146010	CentOS 8：python-pillow（CESA-2020: 0580）	Nessus	CentOS Local Security Checks	2021/2/1	2021/3/23	critical
133243	FreeBSD：Pillow -- 複数の脆弱性（0700e76c-3eb0-11ea-8478-3085a9a95629）	Nessus	FreeBSD Local Security Checks	2020/1/27	2020/7/14	critical
133879	Debian DSA-4631-1 : pillow - セキュリティ更新	Nessus	Debian Local Security Checks	2020/2/24	2020/7/14	critical
133944	RHEL 8: python-pillow（RHSA-2020: 0566)	Nessus	Red Hat Local Security Checks	2020/2/24	2024/11/7	critical
133376	Fedora 31：python-pillow（2020-df444e464e）	Nessus	Fedora Local Security Checks	2020/1/31	2020/7/14	critical
133887	Fedora 30：python-pillow（2020-5cdbb19cca）	Nessus	Fedora Local Security Checks	2020/2/24	2020/7/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical