🇰🇷 한글 설명
Python 이미지 라이브러리인 Pillow의 12.3.0 미만 버전에서 발생하는 취약점입니다. GD 2.x 헤더를 통해 이미지 크기를 읽을 때 압축 폭탄 체크 과정을 거치지 않아, 조작된 .gd 파일을 로드할 경우 과도한 C-heap 메모리 할당을 유발할 수 있습니다.
💡 쉬운 설명
특수하게 제작된 이미지 파일을 열려고 하면 컴퓨터의 메모리를 순식간에 과도하게 사용하여 시스템이 멈추거나 다운될 수 있는 문제입니다. 이미지 크기를 검사하는 보안 절차를 건너뛰기 때문에 발생합니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. Prior to 12.3.0, PIL/GdImageFile.py GdImageFile._open() read image dimensions from the GD 2.x header and stored them in self._size without calling Image._decompression_bomb_check(), allowing a crafted .gd file to trigger excessive C-heap allocation when loaded. This issue is fixed in version 12.3.0.
📍 영향받는 시스템
Pillow library versions prior to 12.3.0
⚔️ 공격 벡터
조작된 GD 형식의 이미지 파일(.gd)을 Pillow 라이브러리를 통해 로드함
🛡️ 대응 방법
Pillow 라이브러리를 12.3.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 12.3.0보다 낮으면 취약한 상태입니다.
pip show Pillow | grep Version