BDU:2021-05405

Опубликовано: 14 июл. 2021

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость реализации функции convert() или ImagingConvertTransparent() библиотек для работы с изображениями Pillow и PIL (Python Imaging Library) связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Red Hat Inc.

Fedora Project

Uploadcare, LLC

Secret Labs AB

АО "НППКТ"

АО «ИВК»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Red Hat Enterprise Linux

Red Hat Quay

Fedora

Pillow

PIL (Python Imaging Library)

ОСОН ОСнова Оnyx

АЛЬТ СП 10

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

8 (Red Hat Enterprise Linux)

3 (Red Hat Quay)

33 (Fedora)

34 (Fedora)

от 1.0 до 8.2.0 включительно (Pillow)

от 1.1.4 до 1.1.7 включительно (PIL (Python Imaging Library))

до 2.4.3 (ОСОН ОСнова Оnyx)

- (АЛЬТ СП 10)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Red Hat Inc. Red Hat Enterprise Linux 8

Fedora Project Fedora 33

Fedora Project Fedora 34

АО "НППКТ" ОСОН ОСнова Оnyx до 2.4.3

АО «ИВК» АЛЬТ СП 10 -

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для библиотеки Pillow и PIL (Python Imaging Library):

https://pillow.readthedocs.io/en/stable/releasenotes/8.3.0.html#buffer-overflow

https://pillow.readthedocs.io/en/stable/releasenotes/index.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/7V6LCG525ARIX6LX5QRYNAWVDD2MD2SV/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VUGBBT63VL7G4JNOEIPDJIOC34ZFBKNJ/

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2021/07/msg00018.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2021-34552

Для ОСОН Основа:

Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u3osnova1

Для ОС ОН «Стрелец»:

Обновление программного обеспечения pillow до версии 4.0.0-4+deb9u4

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-34552
CVE

EPSS

Процентиль: 54%

0.0032

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-34552

CVSS3: 9.8

ubuntu

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1.7 allow an attacker to pass controlled parameters directly into a convert function to trigger a buffer overflow in Convert.c.

CVE-2021-34552

CVSS3: 5.9

redhat

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1.7 allow an attacker to pass controlled parameters directly into a convert function to trigger a buffer overflow in Convert.c.

CVE-2021-34552

CVSS3: 9.8

nvd

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1.7 allow an attacker to pass controlled parameters directly into a convert function to trigger a buffer overflow in Convert.c.

CVE-2021-34552

CVSS3: 9.8

debian

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1. ...

RLSA-2021:4149

rocky

больше 3 лет назад

Moderate: python-pillow security update

EPSS

Процентиль: 54%

0.0032

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2