Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 3.1.1 之前的 Pillow 以及 Python Imaging Library (PIL) 1.1.7 及更早版本中，PcdDecode.c 中的 ImagingPcdDecode 函数中存在缓冲区溢出，允许远程攻击者通过构建的 PhotoCD 文件造成拒绝服务（崩溃）。 (CVE-2016-2533)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 python-pillow 版本低于 2.0.0-23.gitd1c6db8。因此，该程序受到 ALAS2-2025-2803 公告中提及的一个漏洞影响。

    Pillow 3.1.1 之前版本和 Python Imaging Library (PIL) 1.1.7 及更早版本中的 PcdDecode.c 文件内的 ImagingPcdDecode 函数存在缓冲区溢出漏洞，远程攻击者可通过特制的 PhotoCD 文件引发拒绝服务（崩溃）。(CVE-2016-2533)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

根据安装的 python-pillow 程序包版本，远程主机上的 EulerOS 安装会受到下列漏洞影响：- Pillow 2.7.0 之前版本允许远程攻击者通过 PNG 图像中的压缩文本块（解压缩时的大小比较大），造成拒绝服务。(CVE-2014-9601) - 在 Python 图像库 (PIL) 1.1.7 版和更旧版本，以及 Pillow 2.3.1 之前版本中，JpegImagePlugin.py 中的 (1) load_djpeg 函数、EpsImagePlugin.py 中的 (2) Ghostscript 函数、IptcImagePlugin.py 中的 (3) load 函数，以及 Image.py 中的 (4) _copy 函数未正确创建临时文件，进而允许本地用户通过临时文件上的符号链接攻击，覆写任意文件并取得敏感消息。(CVE-2014-1932) - 在 Python 图像库 (PIL) 1.1.7 和更旧版本以及 Pillow 2.3.1 之前版本中，(1) JpegImagePlugin.py 和 (2) EpsImagePlugin.py 脚本在命令列上使用临时文件名称，进而使本地用户更容易通过列出进程来发动符号链接攻击。(CVE-2014-1933) - Python 图像库 (PIL) 1.1.7 和更旧版本以及 Pillow 2.3 可能会允许远程攻击者通过在与 CVE-2014-1932 相关的不明向量中的 shell 元字符执行任意命令，可能是 JpegImagePlugin.py。(CVE-2014-3007) - 在 Python 图像库 (PIL) 和 Pillow 2.3.2 之前版本以及 2.5.2 之前的 2.5.x 中，PIL/IcnsImagePlugin.py 允许远程攻击者通过特制的区块大小，造成拒绝服务。(CVE-2014-3589) - 在 Pillow 3.1.1 之前版本的 libImaging/TiffDecode.c 中，ImagingLibTiffDecode 函数中的缓冲区溢出允许远程攻击者通过特制的 TIFF 文件，覆写内存。(CVE-2016-0740) - 在 Pillow 3.1.1 之前版本的 libImaging/FliDecode.c 中，ImagingFliDecode 函数中的缓冲区溢出允许远程攻击者通过特制的 FLI 文件，造成拒绝服务（崩溃）。(CVE-2016-0775) - 在 Pillow 3.1.1 之前版本以及 Python 图像库 (PIL) 1.1.7 和更旧版本的 PcdDecode.c 中，ImagingPcdDecode 函数中的缓冲区溢出允许远程攻击者通过特制的 PhotoCD 文件，造成拒绝服务（崩溃）。(CVE-2016-2533) - Pillow 3.3.2 之前版本允许环境相关的攻击者通过使用“特制的图像文件”方法，取得敏感消息，这与影响 map.c 组件中 Image.core.map_buffer 的“整数溢出”问题相关。(CVE-2016-9189) - Pillow 3.3.2 之前版本允许环境相关的攻击者通过使用“特制的图像文件”方法，执行任意代码，这与影响 Storage.c 组件中 ImagingNew 的“不安全的签名扩展”问题相关。(CVE-2016-9190) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 Python 图像库 Pillow 中发现多种安全漏洞，如果处理畸形 FLI、PCD 或 Tiff 文件，这可导致拒绝服务或执行任意代码。

远程主机受到 GLSA-201612-52 中所述漏洞的影响（Pillow：多个漏洞）

    在 Pillow 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    本地攻击者可执行符号链接攻击，以便以运行应用程序的用户的权限覆盖任意文件或可能获取敏感信息。
    远程攻击者可利用进程的权限执行任意代码，或者造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

Eric Soroos 发现，Python 映像库未正确处理某些畸形 FLI 或 PhotoCD 文件。远程攻击者可利用此问题造成 Python 映像库崩溃，进而导致拒绝服务。(CVE-2016-0775, CVE-2016-2533) Andrew Drake 发现 Python 映像库未正确验证输入。远程攻击者可利用此问题造成 Python 映像库崩溃，进而导致拒绝服务。(CVE-2014-3589)。请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已经发现，处理 PNG 图像压缩文本块时的缺陷，可能造成解压后图像文件太大，从而导致拒绝服务。
(CVE-2014-9601)

Andrew Drake 发现 Pillow 未能正确验证输入。远程攻击者可利用此漏洞造成 Pillow 崩溃，从而导致拒绝服务。(CVE-2014-3589)

Eric Soroos 发现 Pillow 未能正确处理某些畸形的 FLI、Tiff 以及 PhotoCD 文件。远程攻击者可利用此问题造成 Pillow 崩溃，从而导致拒绝服务。
(CVE-2016-0740、 CVE-2016-0775、 CVE-2016-2533)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
219347	Linux Distros 未修补的漏洞: CVE-2016-2533	Nessus	Misc.	2025/3/4	2025/8/25	medium
233391	Amazon Linux 2：python-pillow (ALAS-2025-2803)	Nessus	Amazon Linux Local Security Checks	2025/3/27	2025/3/27	medium
131591	EulerOS 2.0 SP2：python-pillow (EulerOS-SA-2019-2437)	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	high
89005	Debian DSA-3499-1：pillow - 安全更新	Nessus	Debian Local Security Checks	2016/2/29	2021/1/11	medium
96227	GLSA-201612-52 : Pillow：多个漏洞	Nessus	Gentoo Local Security Checks	2017/1/3	2021/1/11	critical
93559	Ubuntu 12.04 LTS：python-imaging 漏洞 (USN-3080-1)	Nessus	Ubuntu Local Security Checks	2016/9/16	2023/1/12	medium
93775	Ubuntu 14.04 LTS：Pillow 漏洞 (USN-3090-1)	Nessus	Ubuntu Local Security Checks	2016/9/28	2024/8/27	medium

检测

插件搜索

medium

medium

high

medium

critical

medium

medium