2016-0224: Python Pillow: Mehrere Schwachstellen ermöglichen Denial-of-Service-Angriffe

Historie:

Version 1 (2016-02-08 18:24)

Neues Advisory

Version 2 (2016-02-11 18:08)

Für die Distribution Fedora 22 steht ein neues Sicherheitsupdate in Form des Paketes python-pillow-2.8.2-4.fc22 im Status 'testing' zur Verfügung. Das frühere Sicherheitsupdate FEDORA-2016-3e92171283 für Fedora 22 wurde in den Status 'obsolete' versetzt.

Version 3 (2016-02-29 16:08)

Debian stellt für die Distributionen Wheezy (oldstable), Jessie (stable) und Stretch (testing) Sicherheitsupdates bereit.

Version 4 (2016-03-15 15:52)

Für die Distributionen openSUSE Leap 42.1 und openSUSE 13.2 stehen Backport-Sicherheitsupdates für Python Pillow zur Verfügung.

Version 5 (2016-04-01 11:21)

Für SUSE OpenStack Cloud 5 steht ein Sicherheitsupdate bereit, welches die Schwachstellen CVE-2016-0740 und CVE-2016-0775 sowie einen Ganzzahlen- und einen Pufferüberlauf korrigiert. Die beiden Überläufe, denen bisher keine CVEs zugeordnet sind, können vermutlich auch für einen Denial-of-Service-Angriff genutzt werden.

Version 6 (2016-04-04 12:28)

Für SUSE OpenStack Cloud 6 und SUSE Enterprise Storage 2.1 stehen Sicherheitsupdates bereit, welche die Schwachstellen CVE-2016-0740 und CVE-2016-0775 sowie einen Ganzzahlen- und einen Pufferüberlauf korrigieren, die vermutlich für einen Denial-of-Service-Angriff genutzt werden können.

Betroffene Software

Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

In Python Pillow existieren mehrere Schwachstellen, die einem entfernten, nicht authentifizierten Angreifer einen Denial-of-Service-Angriff über speziell präparierte Dateien ermöglichen.

Fedora stellt für die Distributionen Fedora 22 und 23 mit den Paketen python-pillow-2.8.2-3.fc22 und python-pillow-3.0.0-2.fc23 Sicherheitsupdates im Status 'testing' bereit.

Schwachstellen:

CVE-2016-0740

Schwachstelle in Python Pillow ermöglicht Denial-of-Service-Angriff

CVE-2016-0775

Schwachstelle in Python Pillow ermöglicht Denial-of-Service-Angriff

CVE-2016-2533

Schwachstelle in Python Pillow ermöglicht Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.