🇰🇷 한글 설명
Python 이미지 라이브러리인 Pillow의 12.3.0 미만 버전에서 FontFile.compile() 함수가 이미지 생성 시 압축 폭탄 체크를 수행하지 않는 취약점이 발견되었습니다. 이로 인해 악의적으로 조작된 폰트 파일을 처리할 때 과도한 메모리 할당이 발생하여 시스템 자원이 고갈될 수 있습니다.
💡 쉬운 설명
특수하게 제작된 폰트 파일을 열려고 하면 컴퓨터의 메모리를 순식간에 엄청나게 많이 사용하여 시스템이 멈추거나 느려질 수 있는 문제입니다. 마치 아주 작은 크기의 파일이 컴퓨터의 모든 메모리를 다 써버리게 만드는 공격과 같습니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. Prior to 12.3.0, PIL/FontFile.py FontFile.compile() assembled per-glyph images into a combined bitmap with Image.new("1", (xsize, ysize)) without calling Image._decompression_bomb_check(), allowing a font to trigger excessive allocation during conversion or saving. This issue is fixed in version 12.3.0.
📍 영향받는 시스템
Pillow (PIL) versions prior to 12.3.0
⚔️ 공격 벡터
악의적으로 조작된 폰트 파일을 처리하는 애플리케이션을 통해 메모리 고갈 유도
🛡️ 대응 방법
Pillow 라이브러리를 12.3.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 12.3.0 미만이면 취약한 상태입니다.
pip show Pillow | grep Version