🇰🇷 한글 설명
Pillow 라이브러리 9.2.0부터 13.0.0 버전 사이에서 GIF 저장 시 긴 주석을 처리할 때 이차 복사(quadratic copying)가 발생합니다. 공격자가 악의적으로 긴 주석이 포함된 이미지를 제공하면 CPU 자원을 과도하게 소모하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
이미지 파일 안에 아주 긴 메모를 넣어서 보내면, 프로그램이 이를 처리하다가 과부하가 걸려 멈춰버릴 수 있는 문제입니다. 이로 인해 서비스가 느려지거나 아예 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. From 9.2.0 until 13.0.0, Pillow performs quadratic copying when saving a GIF with a long comment. _get_global_header() repeatedly copies portions of comment data while assembling the global header, including comments retained from an untrusted input image. An attacker can supply an image with a large GIF comment to an application that saves it as GIF. This can consume excessive CPU and delay or deny service. This issue is fixed in version 13.0.0.
📍 영향받는 시스템
Pillow library versions 9.2.0 to 13.0.0
⚔️ 공격 벡터
악의적으로 조작된 긴 주석이 포함된 GIF 이미지를 애플리케이션에 업로드하여 처리하게 함
🛡️ 대응 방법
Pillow 라이브러리를 13.0.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 13.0.0 미만(9.2.0 이상)인지 확인
pip show Pillow 2>/dev/null | grep Version