CVE-2026-112402 in Pillow
要約
〜によって VulDB • 2026年10月20日
PillowはPythonの画像処理ライブラリです。バージョン13.0.0より前では、ImagingScaleAffineが選択的な割り当て失敗に遭遇した際に、Pillowはイメージメモリの二重解放（double free）を引き起こす可能性があります。影響を受ける高速パスは、デフォルトのNEAREST補間を使用してTransform.EXTENTまたは純粋なスケール・アンド・トランスフォームであるTransform.AFFINE操作を処理します。この際、出力画像の割り当てが成功し、かつ追加のカラムごとのルックアップ用割り当てが失敗した場合に問題が発生します。その後、エラーパスでイメージストレージが削除され、その後のクリーンアップ処理によって再度解放されます。メモリ圧力下で大規模なImage.transform()操作を誘発できる攻撃者は、この障害を引き起こす可能性があります。これによりプロセスがクラッシュしたり、メモリの破損が生じたりする場合があります。本問題はバージョン13.0.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.