Pillow BMP RLE解码器内存放大DoS漏洞披露

安全研究者 Yazan Balawneh（CyStack Security Team）披露 Pillow 的 BmpRleDecoder 存在内存放大拒绝服务漏洞，并公开 PoC。GHSA 公告称，问题出在 delta escape 与 absolute mode 分支无界增长：约 1 KB 的构造 BMP 文件即可让进程分配数 GB 内存。 公告称影响范围覆盖至当前 HEAD（v13.0.0.dev0，commit e7a7ea84）的所有版本。其附带的 PoC 是一个 1084 字节的 BI_RLE8 文件（宽 3,000,000、高 1，通过 bomb 检查），含一个 delta escape 后生成约 429 MB 的 data，实测峰值 RSS 为 911 MB；若配合接近 MAX_IMAGE_PIXELS（约 8900 万像素）的合法尺寸，可产生数 GB 的 data。 公告称该问题不涉及堆越界读写（bytearray/set_as_raw 有边界保护），但攻击文件极小、内存放大严重，构成 DoS 风险。

AI 根据报道生成 · 3 小时前更新