因此，它受到公告 ALAS2023-2023-146 中提及的多个漏洞影响。

  - 在 Pillow 8.1.1 之前的版本中发现问题。TiffDecode.c 中存在具有无效大小的负偏移 memcpy。(CVE-2021-25290)

  - 在 Pillow 8.1.1 之前的版本中发现问题。在 TiffDecode.c 中，TiffreadRGBATile 中存在通过无效平铺边界造成的越界读取。(CVE-2021-25291)

  - 在 Pillow 8.1.1 之前的版本中发现问题。SGIRleDecode.c 中存在越界读取。
    (CVE-2021-25293)

  - 8.1.1 之前的 Pillow 允许攻击者造成拒绝服务（内存消耗），这是因为未针对 BLP 容器正确检查所包含图像的大小，所以尝试分配的内存可能非常大。(CVE-2021-27921)

  - 8.1.1 之前的 Pillow 允许攻击者造成拒绝服务（内存消耗），这是因为未针对 ICNS 容器正确检查所包含图像的大小，所以尝试分配的内存可能非常大。(CVE-2021-27922)

  - 8.1.1 之前的 Pillow 允许攻击者造成拒绝服务（内存消耗），这是因为未针对 ICO 容器正确检查所包含图像的大小，所以尝试分配的内存可能非常大。(CVE-2021-27923)

  - 在 Pillow 8.2.0 之前的版本中发现问题。对于 FLI 数据，FliDecode 未正确检查区块推进是否非零，这可能导致加载操作无限循环。(CVE-2021-28676)

  - 在 Pillow 8.2.0 之前的版本中发现问题。对于 EPS 数据，EPSImageFile 中使用的 readline 实现必须将 \r 和 \n 的任意组合作为行末进行处理。它在查找行末时意外使用了累积行的二次方法。恶意 EPS 文件可利用此漏洞，在接受要打开的图像之前，在打开阶段执行 DoS of Pillow。
    (CVE-2021-28677)

  - Pillow 至 8.2.0 和 PIL（即 Python Imaging Library）至 1.1.7 允许攻击者直接将受控参数传递至 convert 函数，以触发 Convert.c 中的缓冲区溢出。
    (CVE-2021-34552)

  - 9.2.0 之前的 Pillow 会不当处理高度压缩的 GIF 数据（数据放大）。
    (CVE-2022-45198)

  - 9.3.0 之前的 Pillow 允许攻击者通过 SAMPLESPEPIXEL 造成拒绝服务。(CVE-2022-45199)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 ESM 主机上安装的多个程序包受到 USN-5777-2 公告中提及的多个漏洞影响。

    USN-5777-1 修复了 Pillow (Python 3) 中的漏洞。此更新提供针对 Ubuntu 20.04 LTS 中 (Python 2) 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4462 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4462-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 2 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包pillow 版本 8.1.2+dfsg-0.3+deb11u3 CVE ID CVE-2021-23437 CVE-2022-24303 CVE-2022-45198

    在 Python 的图像处理库 Pillow 中发现多个漏洞。

    CVE-2021-23437

       getrgb 函数容易受到 ReDoS 影响。

    CVE-2022-24303

       可能存在一个路径遍历漏洞允许攻击者删除文件。

    CVE-2022-45198

       未正确处理高度压缩的 GIF 数据可导致解压缩炸弹。

    对于 Debian 11 Bullseye这些问题已在 8.1.2+dfsg-0.3+deb11u3 版本中修复。

    我们建议您升级 pillow 程序包。

    如需了解 pillow 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pillow

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202211-10 中所述漏洞的影响（Pillow：多个漏洞）

  - 5.2.0 版以及 8.3.2 版之前的程序包 pillow 很容易受到通过 getrgb 函数发动的正则表达式拒绝服务 (ReDoS) 攻击。(CVE-2021-23437)

  - Pillow 至 8.2.0 和 PIL（即 Python Imaging Library）至 1.1.7 允许攻击者直接将受控参数传递至 convert 函数，以触发 Convert.c 中的缓冲区溢出。
    (CVE-2021-34552)

  - 在 Pillow 9.0.0 之前版本中，path.c 中的 path_getbbox 无法正确初始化 ImagePath.Path。(CVE-2022-22815)

  - 在 Pillow 9.0.0 之前版本中，path.c 中的 path_getbbox 在初始化 ImagePath.Path 过程中发生缓冲区过度读取问题。(CVE-2022-22816)

  - 在 Pillow 9.0.0 之前版本中，PIL.ImageMath.eval 允许评估任意表达式，例如使用 Python exec 方法的表达式。此外，还可以使用 lambda 表达式 (CVE-2022-22817)

  - 在 9.0.1 之前的 Pillow 中，因为对临时路径名中的空格处理不当，导致攻击者可以借此删除文件。
    (CVE-2022-24303)

  - 9.2.0 之前的 Pillow 会不当处理高度压缩的 GIF 数据（数据放大）。
    (CVE-2022-45198)

  - 9.3.0 之前的 Pillow 允许攻击者通过 SAMPLESPEPIXEL 造成拒绝服务。(CVE-2022-45199)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS/22.04 LTS 主机上安装的程序包受到 USN-5777-1 公告中提及的多个漏洞的影响。

  - 在 9.0.1 之前的 Pillow 中，因为对临时路径名中的空格处理不当，导致攻击者可以借此删除文件。
    (CVE-2022-24303)

  - 9.2.0 之前的 Pillow 会不当处理高度压缩的 GIF 数据（数据放大）。
    (CVE-2022-45198)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
173344	Amazon Linux 2023：python3-pillow, python3-pillow-devel, python3-pillow-tk (ALAS2023-2023-146)	Nessus	Amazon Linux Local Security Checks	2023/3/23	2024/12/11	critical
183719	Ubuntu 20.04 ESM：Pillow 漏洞 (USN-5777-2)	Nessus	Ubuntu Local Security Checks	2023/10/23	2025/9/3	high
297500	Debian dla-4462python-pil-doc - 安全更新	Nessus	Debian Local Security Checks	2026/2/1	2026/2/1	high
168046	GLSA-202211-10：Pillow：多个漏洞	Nessus	Gentoo Local Security Checks	2022/11/22	2023/10/3	critical
168673	Ubuntu 20.04 LTS / 22.04 LTS：Pillow 漏洞 (USN-5777-1)	Nessus	Ubuntu Local Security Checks	2022/12/13	2025/9/3	high

检测

插件搜索

critical

high

high

critical

high