🇰🇷 한글 설명
Pillow 라이브러리 12.3.0 이전 버전에서 PCF 폰트 파일의 메트릭 정보를 처리할 때 압축 폭탄 검사 과정을 거치지 않는 취약점이 발견되었습니다. 공격자가 조작된 PCF 폰트 데이터를 제공할 경우, 시스템의 메모리를 과도하게 할당시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
특수하게 만들어진 폰트 파일을 열 때 컴퓨터의 메모리를 순식간에 가득 채워 시스템을 멈추게 만드는 공격입니다. 폰트 파일 안에 숨겨진 가짜 크기 정보를 이용해 컴퓨터를 과부하 상태로 만듭니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. Prior to 12.3.0, PIL/PcfFontFile.py _load_bitmaps() read glyph dimensions from the PCF METRICS section and passed them directly to Image.frombytes() without calling Image._decompression_bomb_check(), allowing crafted PCF font data to cause excessive memory allocation. This issue is fixed in version 12.3.0.
📍 영향받는 시스템
Pillow (PIL) versions prior to 12.3.0
⚔️ 공격 벡터
조작된 PCF 폰트 파일을 Pillow 라이브러리를 통해 처리하도록 유도
🛡️ 대응 방법
Pillow 라이브러리를 12.3.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 12.3.0 미만이면 취약한 상태입니다.
pip show Pillow | grep Version