BDU:2024-06540

Опубликовано: 03 нояб. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции truetype in ImageFont() библиотеки для работы с изображениями Pillow связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

Fedora Project

АО "НППКТ"

Uploadcare, LLC

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

Fedora

ОСОН ОСнова Оnyx

Pillow

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

38 (Fedora)

до 2.10 (ОСОН ОСнова Оnyx)

до 10.0.0 (Pillow)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Fedora Project Fedora 38

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Для pillow:

https://github.com/python-pillow/Pillow/commit/1fe1bb49c452b0318cad12ea9d97c3bef188e9a7

https://github.com/python-pillow/Pillow/pull/7244

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-44271

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2023-44271

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/N2JOEDUJDQLCUII2LQYZYSM7RJL2I3P4/

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u4.osnova1

Для ОС Astra Linux:

обновить пакет pillow до 5.4.1-2+deb10u6.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:

обновить пакет pillow до 5.4.1-2+deb10u6.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-44271
CVE

EPSS

Процентиль: 36%

0.00148

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2023-44271

CVSS3: 7.5

ubuntu

больше 1 года назад

An issue was discovered in Pillow before 10.0.0. It is a Denial of Service that uncontrollably allocates memory to process a given task, potentially causing a service to crash by having it run out of memory. This occurs for truetype in ImageFont when textlength in an ImageDraw instance operates on a long text argument.

CVE-2023-44271

CVSS3: 7.5

redhat

почти 2 года назад

CVE-2023-44271

CVSS3: 7.5

nvd

больше 1 года назад

CVE-2023-44271

CVSS3: 7.5

debian

больше 1 года назад

An issue was discovered in Pillow before 10.0.0. It is a Denial of Ser ...

SUSE-SU-2023:4528-1

suse-cvrf

больше 1 года назад

Security update for python-Pillow

EPSS

Процентиль: 36%

0.00148

Низкий

7.5 High

CVSS3

7.8 High

CVSS2