Lỗ hổng nghiêm trọng trong Pillow cho phép thực thi mã từ ảnh
"Multiple vulnerabilities were discovered in Pillow, a popular Python image library, including code execution flaws in EPS image handling (CVE-2026-112900), JPEG decoding, and TIFF processing. Exploitation requires specific conditions like filename control or the presence of Ghostscript. Upgrading to version 13.0.0 resolves these issues, but also requires Python 3.11 or newer for those on Python 3.10."
Lỗ hổng thực thi mã từ xa (RCE) trong Pillow có thể cho phép kẻ tấn công kiểm soát hệ thống. Việc khai thác thành công phụ thuộc vào việc kiểm soát tên file.
Các doanh nghiệp sử dụng Pillow trong các ứng dụng xử lý ảnh có thể gặp rủi ro về mất dữ liệu hoặc gián đoạn dịch vụ. Việc cập nhật lên phiên bản mới nhất là cần thiết để giảm thiểu rủi ro.
Cloudflare vừa phát hiện một lỗ hổng cho phép thực thi mã trong thư viện ảnh Pillow của Python (CVE-2026-112900). Lỗ hổng này nằm trong cách Pillow xử lý ảnh EPS, sử dụng Ghostscript mà không kiểm tra tên file trước.
Pillow là thư viện xử lý ảnh phổ biến, được dùng trong nhiều ứng dụng Python như tải ảnh lên web, tạo thumbnail, xử lý PDF và các dự án machine learning. Ước tính có tới 436 triệu lượt tải xuống mỗi tháng. Việc khai thác lỗ hổng này yêu cầu kẻ tấn công kiểm soát được tên file.
Phiên bản 13.0.0 của Pillow, phát hành ngày 16 tháng 10, đã khắc phục lỗ hổng này. Tuy nhiên, phiên bản này yêu cầu Python 3.11 trở lên nếu bạn đang dùng Python 3.10.
Ngoài ra, bản cập nhật còn vá các lỗi khác: lỗi tràn bộ nhớ khi giải mã JPEG, lỗi tái sử dụng dữ liệu ảnh cũ và lỗi tràn bộ nhớ khi tạo thumbnail JPEG. Một số lỗi được phát hiện bằng công cụ Claude của Anthropic và xác nhận bởi Ada Logics.
Để giảm thiểu rủi ro, hãy cập nhật lên Pillow 13.0.0 và tránh sử dụng các hàm draft() và thumbnail() trên ảnh JPEG không tin cậy. Nếu lưu ảnh TIFF vào bộ nhớ, hãy cẩn thận với các ảnh tải lên từ người dùng.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc cập nhật Pillow lên phiên bản 13.0.0 là cần thiết, đặc biệt với các ứng dụng xử lý ảnh tải lên từ người dùng. Doanh nghiệp Việt Nam sử dụng Pillow trong các ứng dụng web hoặc machine learning cần ưu tiên cập nhật. Điều đáng chú ý là việc cập nhật có thể yêu cầu nâng cấp Python lên 3.11 nếu đang dùng 3.10.