更新后的 python-imaging 程序包修复了安全漏洞：

Jakub Wilk 发现，在 Python 映像库的 IptcImagePlugin.py、Image.py、JpegImagePlugin.py 和 EpsImagePlugin.py 文件中，临时文件（通过 mktemp()）以不安全的方式创建。本地攻击者可利用此缺陷执行符号链接攻击，以修改可由运行应用程序（使用 Python 映像库）的用户访问的任意文件 (CVE-2014-1932)。

Jakub Wilk 发现，在 Python 映像库的 JpegImagePlugin.py 和 EpsImagePlugin.py 文件中创建的临时文件被传递给外部进程。这些可在命令行予以查看，允许攻击者获得名称并可能执行符号链接攻击，从而允许他们修改可由运行应用程序（使用 Python 映像库）的用户访问的任意文件 (CVE-2014-1933)。

Python 映像库容易在 IcnsImagePlugin 中遭受拒绝服务攻击 (CVE-2014-3589)。

由于对 CVE-2014-1932 的修复不完整，Python Image Library (PIL) 1.1.7 和更早版本以及 Pillow 2.3 可能允许远程攻击者通过 shell 元字符执行任意命令 (CVE-2014-3007)。

低于 2.7.0 和 2.6.2 的 Pillow 允许远程攻击者通过 PNG 图像中解压后较大的压缩文本区块造成拒绝服务 (CVE-2014-9601)。

检测

Mandriva Linux 安全公告：python-pillow (MDVSA-2015:099)

critical Nessus 插件 ID 82352

未找到变更日志