Kritična ranjivost u Python Pillow biblioteci: Čak i obrada slike može ugroziti server

Bezbednosni istraživači otkrili su ozbiljne ranjivosti u Pillow biblioteci, jednoj od najčešće korišćenih Python komponenti za obradu slika. Pojedini propusti ocenjeni su sa 9,2 od 10 i mogu, u odgovarajućim okolnostima, omogućiti izvršavanje zlonamernog koda. Roster Soft upozorava vlasnike aplikacija i administratore servera da provere instalirane verzije i primene dostupne ispravke.

Kada obična slika postane bezbednosni rizik

Većina korisnika pretpostavlja da je otpremanje fotografije na internet bezopasna operacija.

Međutim, iza jednostavne funkcije za dodavanje slike često se nalazi čitav niz programskih komponenti koje analiziraju datoteku, smanjuju njene dimenzije, prave sličice za pregled ili je konvertuju u drugi format.

Jedna od najpoznatijih biblioteka za takve operacije jeste Pillow, koja se koristi u Python aplikacijama širom sveta.

U oktobru 2026. godine otkriveni su ozbiljni bezbednosni propusti u više komponenti ove biblioteke.

Šta napadač može da uradi?

U zavisnosti od ranjivosti i konfiguracije aplikacije, posebno pripremljena datoteka ili naziv datoteke može izazvati:

• Neočekivani prekid rada aplikacije.
• Prekomernu potrošnju memorije ili procesorskih resursa.
• Oštećenje memorije tokom obrade.
• Potencijalno izvršavanje zlonamernog koda.
• Kompromitovanje podataka kojima pogođeni proces ima pristup.

Posebno su interesantne aplikacije koje automatski prihvataju i obrađuju korisničke datoteke.

Koji sistemi mogu biti pogođeni?

Rizik postoji kod sistema koji koriste ranjive Pillow verzije i izložene funkcionalnosti.

To uključuje internet aplikacije za otpremanje fotografija, OCR sisteme, alate za obradu skeniranih dokumenata, servise za konverziju datoteka, AI aplikacije i automatizovane sisteme za obradu slika.

Samo prisustvo biblioteke ne znači da se ranjivost može iskoristiti. Neophodno je proveriti stvarnu upotrebu pogođenih funkcija i zavisnosti.

Kako se zaštititi?

Preporučuje se ažuriranje biblioteke Pillow na verziju 13.0.0 ili noviju kompatibilnu verziju.

U Python okruženju u kome je aplikacija instalirana, verzija se može proveriti komandom:

python -m pip show Pillow

Za ažuriranje se može koristiti:

python -m pip install --upgrade "Pillow>=13.0.0"

Pre ažuriranja potrebno je proveriti kompatibilnost Python verzije i drugih biblioteka.

Kod Docker aplikacija neophodno je ponovo izgraditi odgovarajuće kontejnere, jer ažuriranje host servera ne znači da su ažurirane i biblioteke unutar njih.

Ukoliko odmah nije moguće primeniti zakrpu, potrebno je ograničiti obradu nepouzdanih datoteka i posebno proveriti korišćenje EPS, JPEG i TIFF formata.

Besplatna provera: Roster Pillow Security Audit

Kompanija Roster Soft predlaže besplatan dijagnostički alat za proveru instaliranih Pillow biblioteka.

Alat je namenjen programerima, administratorima i vlasnicima Python aplikacija.

Njegova svrha je identifikovanje potencijalno ranjivih verzija, pregled osnovnih bezbednosnih rizika i priprema preporuka za ažuriranje.

Važno: Dijagnostički alat ne predstavlja zamenu za bezbednosno ažuriranje. Odsustvo upozorenja ne predstavlja garanciju da je aplikacija bezbedna.

Bezbednost aplikacija počinje održavanjem njihovih komponenti

Savremeni digitalni sistemi zavise od velikog broja biblioteka koje se često izvršavaju bez direktne interakcije sa korisnikom.

Zbog toga je važno redovno proveravati ne samo osnovni programski jezik i operativni sistem već i sve biblioteke koje aplikacija koristi.

Roster Soft pruža usluge razvoja, održavanja i bezbednosne provere veb-aplikacija i serverskih sistema.

Roster Soft – Pouzdana tehnologija. Bezbedniji digitalni sistemi.