脆弱性
Python Imaging Library (Pillow) のマルチフレーム画像ローダーにおいて、フレーム間のモード遷移時に古いネイティブ画像ストレージが再利用されることに起因する脆弱性が存在する。フレーム0で狭いモード（Lなど）用のストレージが割り当てられた後、同一寸法でより広いモード（RGBやCMYKなど）を持つ後続のフレームに切り替わると、Pillowは古いネイティブバッファに対してより広いピクセルデータをデコードしてしまう。これにより、PSD、MPO、DCX、MICなどのフォーマットにおいて、ネイティブ領域での領域外書き込み（Out-of-bounds Write）、領域外読み取り（Out-of-bounds Read）、プロセス強制終了、さらには特定のランタイムプロファイルにおける任意のコード実行を引き起こす可能性がある。
10/22 報告と同じ Pillow について、別の脆弱性が発見されました。Pillow を利用している環境ではアップデート等の対応状況の確認を推奨します。
対象ソフト
Pillowは、Pythonで広く利用されているオープンソースの画像処理ライブラリであり、Webアプリケーションにおける画像アップロード処理やサムネイル生成などで頻繁に使用されている。
影響
攻撃者によって細工されたマルチフレーム画像ファイルを処理させられた場合、アプリケーションのプロセスがクラッシュするサービス妨害（DoS）状態に陥るほか、ネイティブメモリの破損を通じて任意のコードが実行されるおそれがある。
対応策
13.0.0 以降にアップグレードすること。
