🇰🇷 한글 설명
Python 이미지 라이브러리인 Pillow의 5.4.0부터 13.0.0 버전 사이에서 GIF 코멘트를 파싱할 때 이차 함수적 복사(quadratic copying)가 발생합니다. 공격자가 다수의 코멘트 확장이 포함된 작은 크기의 GIF 파일을 제출하면 과도한 CPU 자원을 소모하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
이미지 파일을 읽을 때 특정 데이터가 너무 많으면 컴퓨터가 이를 처리하느라 과부하가 걸려 멈추게 되는 문제입니다. 악의적으로 만들어진 GIF 파일을 열기만 해도 프로그램이 응답하지 않을 수 있습니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. From 5.4.0 until 13.0.0, Pillow performs quadratic copying while parsing GIF comments. GifImageFile._seek() repeatedly appends immutable bytes for comment sub-blocks and multiple comment extensions, and frame zero is parsed during Image.open(). An attacker can submit a small-dimension GIF containing many comment extensions to any application that opens the file. This can consume excessive CPU and deny service before the application can inspect the image. This issue is fixed in version 13.0.0.
📍 영향받는 시스템
Pillow library versions 5.4.0 to 13.0.0
⚔️ 공격 벡터
악의적으로 조작된 다수의 코멘트 확장이 포함된 GIF 파일을 애플리케이션에 업로드하거나 열도록 유도
🛡️ 대응 방법
Pillow 라이브러리를 13.0.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 13.0.0 미만(5.4.0 이상)이면 취약한 상태입니다.
pip show Pillow | grep Version