CVE-2026-112393

CVE-2026-112393 betrifft die Python-Bibliothek Pillow (Versionen 2.0.0 bis 12.x.x). Es handelt sich um einen Heap-Buffer-Overflow und eine Stale-Heap-Offenlegung in der Funktion _tiffWriteProc beim Speichern komprimierter TIFF-Daten über libtiff in Zielen ohne nutzbares fileno(), wie z.B. BytesIO. Dies kann zu einem Absturz des Prozesses führen und potenziell die Ausführung von Code ermöglichen, zudem können veraltete Heap-Bytes offengelegt werden. Die Schwachstelle wird durch eine fehlerhafte Größenberechnung bei der Allokation verursacht, die es ermöglicht, Daten über den zugewiesenen Speicherbereich hinaus zu kopieren. Die Schwachstelle weist einen CVSS-Score von 9.8 (CRITICAL) auf, was auf ein sehr hohes Risiko hindeutet. Die Exploit-Wahrscheinlichkeit (EPSS) liegt jedoch bei nur 1%, was darauf hindeutet, dass eine aktive Ausnutzung derzeit unwahrscheinlich ist. Die Schwachstelle ist nicht im CISA KEV-Katalog gelistet, was ebenfalls auf keine bekannte aktive Ausnutzung hinweist. Security-Teams sollten die betroffenen Pillow-Installationen auf Version 13.0.0 oder höher aktualisieren, um diese kritische Schwachstelle zu beheben. Obwohl die Exploit-Wahrscheinlichkeit gering ist, sollte aufgrund des hohen CVSS-Scores eine zeitnahe Patch-Priorisierung erfolgen, insbesondere in Umgebungen, die komprimierte TIFF-Daten verarbeiten.