p PatchFirst

CVE-2026-40192

CVE-2026-40192 · Pillow is vulnerable to a FITS GZIP decompression bomb

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.

Pillow is a Python imaging library. Versions 10.3.0 through 12.1.1 did not limit the amount of GZIP-compressed data read when decoding a FITS image, making them vulnerable to decompression bomb attacks. A specially crafted FITS file could cause unbounded memory consumption, leading to denial of service (OOM crash or severe performance degradation). If users are unable to immediately upgrade, they should only open specific image formats, excluding FITS, as a workaround.

CVSS 8.7 · Высокий · EPSS 0,7% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • pillow

    Версии
    • >= 10.3.0, < 12.2.0: Затронуто

    Нет опубликованного исправления

  • pillow Debian:13

    Версии
    • 11.1.0-5
    • 11.1.0-5+deb13u1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 11.1.0-5+deb13u2

    Обновитесь до 11.1.0-5+deb13u2

  • pillow Debian:14

    Версии
    • 11.1.0-5
    • 11.2.1-1
    • 11.3.0-1
    • 12.0.0-1
    • 12.1.0-1
    • 12.1.1-1
    • 12.1.1-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 12.2.0-1

    Обновитесь до 12.2.0-1

  • pillow PyPI

    Версии
    • 10.3.0
    • 10.4.0
    • 11.0.0
    • 11.1.0
    • 11.2.1
    • 11.3.0
    • 12.0.0
    • 12.1.0
    • 12.1.1
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 10.3.0, < 12.2.0

    Обновитесь до 12.2.0

  • pillow Ubuntu:25.10

    Версии
    • 11.1.0-5build1
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu1.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 11.3.0-1ubuntu1.2

    Обновитесь до 11.3.0-1ubuntu1.2

  • pillow Ubuntu:26.04:LTS

    Версии
    • 11.3.0-1ubuntu1
    • 11.3.0-1ubuntu2
    • 12.0.0-1ubuntu1
    • 12.1.1-1ubuntu1
    • 12.1.1-2ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 12.1.1-2ubuntu1.1

    Обновитесь до 12.1.1-2ubuntu1.1

Первоисточники

Проверьте свой сервер →