CVE-2026-112402 in Pillow
요약
\~에 의해 VulDB • 2026. 10. 20.
Pillow은 Python용 이미지 처리 라이브러리입니다. 버전 13.0.0 이전의 Pillow는 ImagingScaleAffine가 선택적 할당 실패를 encountered할 때 이미지 메모리의 이중 해제(double free) 문제를 일으킬 수 있습니다. 영향을 받는 빠른 경로(fast path)는 기본 NEAREST 리샘플링을 사용하여 Transform.EXTENT 또는 순수 스케일 및 변환(Transform.AFFINE) 작업을 처리합니다. 출력 이미지의 할당은 성공해야 하지만, 추가적인 열별 조회(lookup) 할당이 실패한 후 오류 처리 경로(error path)가 이미지 저장 공간을 삭제하고, 이후 정리 과정(cleanup)에서 해당 메모리가 다시 해제됩니다. 메모리 압박 하에서 이러한 대규모 Image.transform() 연산을 유발할 수 있는 공격자는 이 실패를 트리거하여 프로세스 충돌을 일으키거나 메모리를 손상시킬 수 있습니다. 이 문제는 버전 13.0.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.