Une faille de débordement de tampon dans la librairie d’images

Le cœur du problème réside dans une version précise de la bibliothèque Pillow, largement utilisée par les développeurs pour manipuler des images. Selon le dossier publié sur GitHub Advisory Database, la vulnérabilité affecte spécifiquement la version 2.5.4 de la librairie libopenjp2 intégrée à toutes les roues (wheels) depuis la version 11.1.0 du paquet Pillow. Cette faille technique, identifiée sous le code OSV-2025-219, permet un débordement de tampon en mémoire vive (heap-buffer-overflow). Ce type d’erreur se déclenche lorsque l’instruction Image.open().load() est exécutée sur une image malveillante ou corrompue.

Le score CVSS attribué à cette faille s’élève à 8,1 sur 10, ce qui la place dans la catégorie des vulnérabilités graves nécessitant une attention immédiate.

La fenêtre de danger et les versions concernées

Pour les administrateurs systèmes et les développeurs, la portée de cette alerte est définie par une plage de versions précise. Les installations utilisant une version du paquet pip/pillow supérieure ou égale à 11.1.0 mais inférieure à 13.0.0 sont considérées comme vulnérables. En revanche, les utilisateurs ayant déjà migré vers la version 13.0.0 ou supérieure bénéficient d’une correction automatique de ce problème.

Le dossier précise que cette faille est présente dans toutes les roues concernées par cette plage de versions, sans distinction apparente entre les environnements de production ou de développement. La source officielle indique clairement que le risque concerne l’ensemble des projets dépendant de ces versions intermédiaires non patchées.

Mécanismes d’exploitation et recommandations de mitigation

La nature de la faille implique un débordement d’écriture en mémoire, une technique courante utilisée par les attaquants pour exécuter du code arbitraire ou crasher des applications. Bien que le dossier ne détaille pas de scénario d’attaque spécifique ayant déjà eu lieu dans la nature, le système de prédiction d’exploitation (EPSS) associé à ce type de vulnérabilité suggère une probabilité non négligeable d’exploitation dans les trente prochains jours pour les systèmes exposés.

Les utilisateurs sont donc invités à vérifier leurs dépendances via leurs outils de gestion de paquets et à procéder à une mise à jour vers la version 13.0.0 dès que possible. La base de données GitHub Advisory Database, alimentée par des contributions communautaires et la National Vulnerability Database américaine, sert ici de référence pour identifier les risques avant qu’ils ne se transforment en incidents majeurs.

La sobriété du message technique contraste avec l’urgence réelle qu’il impose aux équipes de sécurité informatique.

Source : GitHub Advisory Database reviewed High/Critical — https://github.com/advisories/GHSA-78g4-xqwv-q3g8