Ubuntu publicó el 12 de noviembre una actualización de seguridad para Pillow, la biblioteca de Python que permite abrir y modificar imágenes. El aviso reúne decenas de fallos: según el caso, un archivo especialmente preparado podía bloquear el proceso, agotar memoria, exponer datos o llegar a permitir la ejecución de comandos. El riesgo resulta más relevante en aplicaciones y servicios que procesan archivos no confiables, aunque el efecto depende de la vulnerabilidad y de cómo se use Pillow.
Fallos con efectos distintos
El aviso incluye problemas en tareas de lectura y escritura de imágenes y documentos. Entre ellos figuran desbordamientos de búfer —accesos fuera de una zona de memoria reservada— en rutas de TIFF y JPEG, defectos en decodificadores y fallos al tratar archivos GIF, PDF y otros formatos. Algunos podían causar una caída o una denegación de servicio; otros podían revelar contenido de memoria o, en ciertos escenarios, ejecutar código dentro del proceso que usa Pillow.
Ubuntu no afirma en el aviso que estos fallos se estén explotando activamente. Tampoco todos afectan a las mismas versiones del sistema: el alcance varía según cada problema y cada edición de Ubuntu.
Qué actualizar
El aviso cubre Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS, 16.04 LTS y 14.04 LTS. Para Ubuntu 24.04 LTS, el paquete corregido es python3-pil 10.2.0-1ubuntu1.5; para 22.04 LTS, 9.0.1-1ubuntu0.7. En las ediciones antiguas, la disponibilidad depende de Ubuntu Pro; para 16.04 y 14.04, Ubuntu especifica además el complemento Legacy Support.
Ubuntu indica que, en general, una actualización estándar del sistema instala las correcciones. Conviene comprobar la versión del paquete frente a la correspondiente a la edición utilizada. Si una aplicación instala Pillow en un entorno Python separado del sistema, habrá que revisar ese entorno por su cuenta: la actualización del paquete de Ubuntu no acredita que esa copia también esté corregida.
El aviso oficial USN-9064-1 contiene el detalle de los fallos, las ediciones afectadas y las versiones corregidas.