A equipe responsável pelo software confirmou, em documentação oficial, a gravidade da situação: “A falha é acionada pelo nome do arquivo, e não por qualquer elemento dentro do documento PostScript” , declararam os programadores que cuidam do projeto, em comunicado de segurança publicado no GitHub . A declaração reforça que até mesmo uma imagem inofensiva pode causar estragos caso o nome do arquivo seja definido por um invasor.

Os mantenedores do projeto e a equipe da empresa de cibersegurança OX Security confirmaram, em relatórios divulgados nesta quinta-feira (22), que a biblioteca registra cerca de 436 milhões de downloads por mês.

O software está presente em formulários de envio de fotos na web, geradores de imagens em miniatura, leitores de arquivos PDF e sistemas de inteligência artificial (IA). Para corrigir a brecha, os desenvolvedores lançaram a versão 13.0.0 da ferramenta no dia 16 de outubro.

A análise publicada pela OX Security afirma que a biblioteca apresentou três falhas graves com pontuação 9,2 em uma escala de gravidade que vai até 10. Além do problema no processamento de ilustrações, a atualização corrige um erro na leitura de imagens JPEG no formato FlashPix, um padrão antigo de fotografia digital.

Como o programa processa rotineiramente dados de imagem não confiáveis enviados por usuários, uma falha de segurança no Pillow é alcançável a partir de um simples envio de arquivo em uma enorme variedade de serviços.

Niz Zadok, pesquisador da OX Security

Conforme detalhado no relatório de segurança no GitHub , essa brecha permite que o invasor tome o controle do servidor no momento em que a imagem é aberta pelo sistema, desde que um pacote complementar chamado olefile esteja instalado. O programa identifica o arquivo pela assinatura dos dados do cabeçalho e não pela extensão do nome, o que expõe os servidores automaticamente sem que ninguém precise clicar na imagem.