远程主机上安装的 python-pillow 版本低于 2.0.0-23.gitd1c6db8。因此，它受到 ALAS2-2022-1786 公告中提及的多个漏洞影响。

  - 在 Pillow 9.0.0 之前版本中，PIL.ImageMath.eval 允许评估任意表达式，例如使用 Python exec 方法的表达式。此外，还可以使用 lambda 表达式 (CVE-2022-22817)

  - 在 Pillow 8.2.0 之前的版本中发现问题。对于 FLI 数据，FliDecode 未正确检查区块推进是否非零，这可能导致加载操作无限循环。(CVE-2021-28676)

  - 在 Pillow 9.0.0 之前版本中，path.c 中的 path_getbbox 无法正确初始化 ImagePath.Path。(CVE-2022-22815)

  - 在 Pillow 9.0.0 之前版本中，path.c 中的 path_getbbox 在初始化 ImagePath.Path 过程中发生缓冲区过度读取问题。(CVE-2022-22816)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：python-pillow (ALAS-2022-1786)

critical Nessus 插件 ID 160268

版本 1.3