🇰🇷 한글 설명
Python 이미지 라이브러리인 Pillow의 5.1.0 버전부터 13.0.0 버전 사이에서 PDF 페이지를 다시 작성할 때 무한 루프에 빠지는 취약점이 발견되었습니다. 공격자가 순환 구조를 가진 PDF 파일을 제공하면 애플리케이션이 이를 처리하는 과정에서 CPU 점유율이 100%로 치솟아 서비스 거부(DoS) 상태가 될 수 있습니다.
💡 쉬운 설명
특수하게 조작된 PDF 파일을 열려고 하면 컴퓨터가 끝없는 계산에 빠져 멈춰버리는 문제입니다. 이로 인해 서버가 응답하지 않게 되어 서비스 이용이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. From 5.1.0 until 13.0.0, Pillow can enter an infinite loop while rewriting PDF pages. PdfParser.rewrite_pages() follows Parent relationships without detecting a cycle in the page tree. An attacker can supply a cyclic PDF to an application that appends an image to that PDF. This can hold the worker at full CPU and deny service. This issue is fixed in version 13.0.0.
📍 영향받는 시스템
Pillow 5.1.0 ~ 13.0.0 버전
⚔️ 공격 벡터
순환 구조(Cycle)를 포함한 악의적인 PDF 파일을 애플리케이션에 업로드하거나 처리하도록 유도
🛡️ 대응 방법
Pillow 라이브러리를 13.0.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 13.0.0 미만(예: 12.x.x)이면 취약한 상태입니다.
pip show Pillow | grep Version