🇰🇷 한글 설명
Python 이미지 라이브러리인 Pillow의 5.2.0부터 12.3.0 버전 사이에서 TGA RLE 인코더의 취약점이 발견되었습니다. mode 1 이미지를 TGA RLE 압축 방식으로 저장할 때 패킹된 행 버퍼를 초과하여 읽음으로써, 인접한 프로세스의 힙 바이트가 생성된 TGA 파일에 포함될 수 있습니다.
💡 쉬운 설명
이미지를 저장하는 과정에서 컴퓨터 메모리의 다른 정보가 이미지 파일 안에 실수로 포함될 수 있는 문제입니다. 이를 통해 파일 안에 민감한 데이터가 담길 위험이 있습니다.
🇺🇸 원문 (English)
Pillow is a Python imaging library. From 5.2.0 until 12.3.0, Pillow's TGA RLE encoder reads past its packed row buffer when saving a mode 1 image with TGA RLE compression, allowing adjacent process heap bytes to be copied into the generated TGA file. This issue is fixed in version 12.3.0.
📍 영향받는 시스템
Pillow 5.2.0 ~ 12.3.0 버전
⚔️ 공격 벡터
취약한 버전의 Pillow를 사용하여 특정 설정의 TGA 이미지를 생성/저장할 때 발생
🛡️ 대응 방법
Pillow 라이브러리를 12.3.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 12.3.0 미만인지 확인
pip show Pillow | grep Version