Liebes Linux-Magazin-Team,
bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.
Historie:
Version 5 (14.02.20):
Für Fedora 30 steht ein Sicherheitsupdate für Python Pillow in Form des
Paketes ‘python-pillow-5.4.1-4.fc30’ im Status ‘testing’ zur Behebung der
referenzierten Schwachstellen bereit.
Version 4 (05.02.20):
Für Fedora 31 Flatpaks stehen Sicherheitsupdates für ‘hydrapaper’ und
‘quearcode’ im Status ‘testing’ bereit, mit denen das enthaltene ‘python-
pillow’ auf Version 6.2.2 aktualisiert wird.
Version 3 (20.01.20):
Für Fedora 31 steht ein Sicherheitsupdate in Form des Pakets ‘python-
pillow-6.2.2-1.fc31’ im Status ‘testing’ bereit, um die Schwachstellen
CVE-2020-5310, CVE-2020-5311, CVE-2020-5312 und CVE-2020-5313 zu
schließen.
Version 2 (13.01.20):
Mit dem Sicherheitsupdate 6.2.2 wurden auch die Schwachstellen
CVE-2020-5310 und CVE-2020-5311 behoben, die daher in dieses ADV mit
aufgenommen wurden. Sie ermöglichen einem entfernten, nicht
authentisierten Angreifer möglicherweise das Ausführen beliebigen
Programmcodes. Für Fedora EPEL 7 steht ein Sicherheitsupdate in Form des
Pakets ‘python3-pillow-6.2.2-1.el7’ im Status ‘testing’ bereit, um die
Schwachstellen zu schließen.
Version 1 (07.01.20):
Neues Advisory
Mehrere Schwachstelle in Python Pillow ermöglichen einem entfernten, nicht
authentisierten Angreifer möglicherweise das Ausführen beliebigen
Programmcodes und das Durchführen eines Denial-of-Service (DoS)-Angriffs.
Der Hersteller bietet die Version 6.2.2 als Sicherheitsupdate an, um die
Schwachstellen zu schließen.
Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate in Version
2.6.1-2+deb8u4 zur Behebung der Schwachstelle in ‘pillow’ bereit.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2020-0012]
Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team
—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html
