Pillow, biblioteca de imagens do Python, tem falha crítica que permite invadir servidores

Por Melhores Tech · deslize para ver →

Brecha na Pillow usa o nome de arquivos EPS para executar comandos via Ghostscript; versão 13.0.0 corrige o problema e mais duas falhas.

Como a falha crítica da Pillow é explorada?

O invasor define o nome de um arquivo EPS com comandos embutidos; a Pillow repassa esse nome ao Ghostscript sem validação, permitindo execução remota de código no servidor.

Qual versão da Pillow corrige as falhas?

A versão 13.0.0, disponível no PyPI, que também deixou de suportar versões antigas do Python.

O que fazer se não for possível atualizar agora?

Desinstalar o Ghostscript de servidores que recebem arquivos públicos, evitar gerar miniaturas de imagens de desconhecidos e não processar imagens diretamente na memória.