Python PIL दूरस्थ कमांड निष्पादन भेद्यता (GhostButt)

Python में छवियों को संसाधित करने के लिए PIL (Pillow) मॉड्यूल GhostButt भेद्यता (CVE-2017-8291) से प्रभावित है, क्योंकि यह आंतरिक रूप से GhostScript को कॉल करता है, जिसके परिणामस्वरूप दूरस्थ कमांड निष्पादन भेद्यता उत्पन्न होती है।

भेद्यता सारांश

PIL आंतरिक रूप से छवि हेडर (मैजिक बाइट्स) के आधार पर छवि प्रकार निर्धारित करता है। यदि यह एक EPS फ़ाइल (हेडर %!PS है) पाया जाता है, तो इसे प्रसंस्करण के लिए PIL/EpsImagePlugin.py को भेजा जाता है।

इस मॉड्यूल में, PIL छवि फ़ाइलों को संसाधित करने के लिए सिस्टम के gs कमांड को कॉल करता है, जो कि GhostScript है:

command = ["gs",
            "-q", # quiet mode
            "-g%dx%d" % size, # set output geometry (pixels)
            "-r%fx%f" % res, # set input DPI (dots per inch)
            "-dBATCH", # exit after processing
            "-dNOPAUSE", # don't pause between pages,
            "-dSAFER", # safe mode
            "-sDEVICE=ppmraw", # ppm driver
            "-sOutputFile=%s" % outfile, # output file
            "-c", "%d %d translate" % (-bbox[0], -bbox[1]),
                                            # adjust for image origin
            "-f", infile, # input file
            ]

# Omit the code to determine whether GhostScript is installed
try:
    with open(os.devnull, 'w+b') as devnull:
        subprocess.check_call(command, stdin=devnull, stdout=devnull)
    im = Image.open(outfile)

PIL-CVE-2017-8291

सबसे लोकप्रिय

भेद्यता परीक्षण