BDU:2026-15946

Опубликовано: 23 июн. 2026

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции _load_bitmaps() файла PIL/PcfFontFile.py библиотеки для работы с изображениями Python Pillow связана с неконтролируемым распределением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Red Hat, Inc.

ООО «Ред Софт»

Fredrik Lundh and contributors

Наименование ПО

Debian GNU/Linux

Red Hat Enterprise Linux

РЕД ОС

Red Hat Satellite

Red Hat Ansible Automation Platform

Pillow

Версия ПО

9 (Debian GNU/Linux)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

6 (Red Hat Satellite)

8.4 Advanced Mission Critical Update Support (Red Hat Enterprise Linux)

8.6 Advanced Mission Critical Update Support (Red Hat Enterprise Linux)

6.16 for RHEL 8 (Red Hat Satellite)

6.16 for RHEL 9 (Red Hat Satellite)

2.5 for RHEL 8 (Red Hat Ansible Automation Platform)

2.5 for RHEL 9 (Red Hat Ansible Automation Platform)

8.8 Telecommunications Update Service (Red Hat Enterprise Linux)

8.8 Update Services for SAP Solutions (Red Hat Enterprise Linux)

13 (Debian GNU/Linux)

8.6 Extended Update Support Long-Life Add-On (Red Hat Enterprise Linux)

8.4 Extended Update Support Long-Life Add-On (Red Hat Enterprise Linux)

8.0 (РЕД ОС)

6.17 for RHEL 9 (Red Hat Satellite)

2.6 for RHEL 9 (Red Hat Ansible Automation Platform)

6.18 for RHEL 9 (Red Hat Satellite)

от 12.2.0 до 12.3.0 (Pillow)

6.19 for RHEL 9 (Red Hat Satellite)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Red Hat, Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Red Hat, Inc. Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support

Red Hat, Inc. Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support

Red Hat, Inc. Red Hat Enterprise Linux 8.8 Telecommunications Update Service

Red Hat, Inc. Red Hat Enterprise Linux 8.8 Update Services for SAP Solutions

Сообщество свободного программного обеспечения Debian GNU/Linux 13

Red Hat, Inc. Red Hat Enterprise Linux 8.6 Extended Update Support Long-Life Add-On

Red Hat, Inc. Red Hat Enterprise Linux 8.4 Extended Update Support Long-Life Add-On

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Python Pillow:

https://github.com/pypa/advisory-database/tree/main/vulns/pillow/PYSEC-2026-2253.yaml

https://github.com/python-pillow/Pillow

https://github.com/python-pillow/Pillow/blob/main/docs/releasenotes/12.3.0.rst

https://github.com/python-pillow/Pillow/commit/0a263e6264aa5399988d9acd3bbfbca2ca3ec77d

https://github.com/python-pillow/Pillow/security/advisories/GHSA-8v84-f9pq-wr9x

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2026-54059

https://deb.freexian.com/extended-lts/tracker/CVE-2026-54059

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2026-54059

Для Ред ОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-54059
CVE

EPSS

Процентиль: 33%

0.0041

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2026-54059

CVSS3: 7.5

ubuntu

3 месяца назад

Pillow is a Python imaging library. Prior to 12.3.0, PIL/PcfFontFile.py _load_bitmaps() read glyph dimensions from the PCF METRICS section and passed them directly to Image.frombytes() without calling Image._decompression_bomb_check(), allowing crafted PCF font data to cause excessive memory allocation. This issue is fixed in version 12.3.0.

CVE-2026-54059

CVSS3: 7.5

redhat

3 месяца назад

CVE-2026-54059

CVSS3: 7.5

nvd

3 месяца назад

CVE-2026-54059

CVSS3: 7.5

debian

3 месяца назад

Pillow is a Python imaging library. Prior to 12.3.0, PIL/PcfFontFile.p ...

ROS-20260817-80-0228

CVSS3: 7.5

redos

около 2 месяцев назад

Уязвимость python-pillow

EPSS

Процентиль: 33%

0.0041

Низкий

7.5 High

CVSS3

7.8 High

CVSS2