Pillow (src/PIL/FitsImagePlugin.py) Le score CVSS v3.1 évalue CVE-2026-40192 à 7.5 (HIGH, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H). Le score opérationnel Hermes s'établit à 84 (HIGH) en raison de l'exposition critique de l'écosystème Python dans les pipelines de données et d'IA.
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in Pillow Python Imaging Library documented in Hermes dossier.”
Le composant Pillow (src/PIL/FitsImagePlugin.py) intervient au cœur des runtimes applicatifs, des microservices et des chaînes de traitement de données sous Python.
| Paramètre | Spécification technique | Contexte threat intelligence |
|---|---|---|
| Identifiant CVE | CVE-2026-40192 | Bulletin officiel de sécurité amont |
| Produit affecté | python-pillow:pillow | Écosystème logiciel Python |
| Composant vulnérable | Pillow (src/PIL/FitsImagePlugin.py) | Bibliothèque standard / Outil de packaging |
| Classe de faiblesse | CWE-400: Uncontrolled Resource Consumption ('Decompression Bomb') | Faiblesse d’exécution / Gestion des ressources |
| Score CVSS v3.1 | 7.5 (HIGH / Score Hermes 84) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| Version corrigée | 12.2.0 | Correctif officiel amont |
| Techniques MITRE ATT&CK | T1499 - Endpoint Denial of Service, T1203 - Exploitation for Client Execution | Exécution de code / Déni de service |
| Référence forensique | Analyse mémoire des processus et crash OOM sous Linux | Analyse mémoire et diagnostic des processus |
L’examen du code source incriminé met en évidence la faille logique ou l’absence de vérification d’encadrement :
# Bug in src/PIL/FitsImagePlugin.py (_open)def _open(self): header = self.fp.read(80) if is_gzip(header): # VULNERABILITY: Reads and decompresses the entire GZIP stream # with zero size limitation or MAX_IMAGE_PIXELS check! gz = gzip.GzipFile(fileobj=self.fp) self.fp = io.BytesIO(gz.read()) # Unbounded expansion exhausts RAM!Lorsque des entrées non fiables atteignent cette routine, le comportement du programme diverge des invariants de sécurité attendus, provoquant une saturation de ressources ou une manipulation de pointeurs en mémoire.
Pillow (src/PIL/FitsImagePlugin.py).Image.open(fichier), le processus tente d’allouer plus de 30 Go de mémoire vive, provoquant l’intervention brutale de l’OOM-Killer du noyau Linux qui abat les serveurs d’API..Les analystes de sécurité peuvent identifier les tentatives d’exploitation en corrélant les traces applicatives et les alertes du système d’exploitation.
Télémétrie des processus & crashs
Surveillez les journaux applicatifs à la recherche des motifs :
Out of memory: Killed process [pid] (python3/celery) total-vm:34522816kB anon-rss:31892012kB. Recherchez les pics anormaux de CPU ou les arrêts forcés par manque de mémoire (OOM).
Auditd & surveillance des appels
Déployez des règles d’audit pour tracer les créations de processus enfants ou les écritures anormales. Consultez Analyse mémoire des processus et crash OOM sous Linux.
title: Pillow Massive Memory Spike from FITS Image Decompression Bomb (FR)id: cve-2026-40192status: experimentaldescription: Détecte les anomalies de crash ou d'exécution associées à CVE-2026-40192.logsource: category: process_creation product: linuxdetection: selection: - 'Out' - 'pillow' condition: selectionfields: - CommandLine - Userlevel: high# Surveillance par tracepoint eBPF des exécutions sous python-pillow:pillowsudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve /comm == "python3"/ { printf("PID %d a lancé: %s\n", pid, str(args->filename));}'La sécurisation des environnements applicatifs repose sur le déploiement des correctifs et le durcissement du traitement des données :
python-pillow:pillow vers la version 12.2.0 ou ultérieure via votre gestionnaire de paquets ou vos fichiers de dépendances (requirements.txt, Pipfile, pyproject.toml).pickle au profit de formats sécurisés tels que JSON ou safetensors.