🇰🇷 한글 설명
Pillow 라이브러리 13.0.0 미만 버전의 XBM 헤더 파서에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 조작된 XBM 파일을 통해 Image.open()을 호출하면 백트래킹 현상이 발생하여 워커 프로세스가 수 분간 중단될 수 있습니다.
💡 쉬운 설명
이미지 처리 라이브러리인 Pillow가 특수하게 만들어진 이미지 파일을 읽을 때 과도한 계산을 수행하여 컴퓨터를 멈추게 만드는 문제입니다. 이로 인해 서비스가 응답하지 않는 상태가 될 수 있습니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. Prior to 13.0.0, Pillow's XBM header parser is vulnerable to regular-expression denial of service. In XbmImageFile._open, when an application calls Image.open() on a small crafted XBM file, XbmImagePlugin applies a backtracking expression to the attacker-controlled header before image dimensions are accepted, stalling a worker for minutes and denying service. This issue is fixed in version 13.0.0.
📍 영향받는 시스템
Pillow version < 13.0.0
⚔️ 공격 벡터
조작된 XBM 파일을 애플리케이션이 Image.open() 함수로 처리하도록 유도
🛡️ 대응 방법
Pillow 라이브러리를 13.0.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 13.0.0보다 낮은지 확인
pip show Pillow 2>/dev/null | grep Version