CVE-2026-112390 Bucle infinito en Pillow al contar cuadros de una imagen MIC con TIFF embebido

Qué es CVE-2026-112390

Pillow, desde 7.2.0 hasta 13.0.0, puede entrar en un bucle infinito al determinar la cantidad de cuadros de una imagen MIC. MicImageFile hereda el recorrido de cuadros TIFF, pero tell() informa el índice del flujo OLE y seek() reinicia el estado TIFF, por lo que un TIFF embebido con al menos tres IFD nunca avanza. Al leer n_frames o guardar todos los cuadros de un archivo MIC manipulado, el recorrido puede mantener un worker al 100% de CPU de forma indefinida. Se corrige en la versión 13.0.0.

Productos y versiones afectadas

• python-pillow Pillow

  • >= 7.2.0, < 13.0.0

Qué hacer

1. Verificá si usás Pillow y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Pillow is a Python imaging library. From 7.2.0 until 13.0.0, Pillow can enter an infinite loop while determining the frame count of a MIC image. MicImageFile inherits TIFF frame traversal, but MicImageFile.tell reports the OLE stream index and its seek() resets TIFF frame state, so an embedded TIFF with at least three IFDs never advances. When an application with olefile installed reads n_frames or saves all frames from a crafted MIC file, the non-advancing traversal can hold a worker at full CPU indefinitely. This issue is fixed in version 13.0.0.

Referencias

• github.com/python-pillow/Pillow/security/advisories/GHSA-22hg-r758-rrw9X_REFSOURCE_CONFIRM
• github.com/python-pillow/Pillow/commit/26cb3ed061173b817b9ee4b6f507cb0e1e293218X_REFSOURCE_MISC
• github.com/python-pillow/Pillow/releases/tag/13.0.0X_REFSOURCE_MISC

Historial de la alerta

1. 19 OCT · 19:16VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.