USN-8999-1: Ubuntu corregge 11 falle in Pillow, da DoS a possibile RCE

Ubuntu ha pubblicato il 4 novembre 2026 l'avviso USN-8999-1, che corregge 11 vulnerabilità nel pacchetto python3-pil, cioè Pillow, la libreria Python per la manipolazione di immagini. Riguarda Ubuntu 22.04 LTS (jammy), 24.04 LTS (noble) e 26.04 LTS (resolute).

Pillow non è un software che gira in primo piano: è la libreria che molti backend Python usano per generare thumbnail, ridimensionare upload, aggiungere watermark o convertire formati. Chi gestisce un CMS con galleria immagini, un e-commerce con foto prodotto o un servizio che accetta upload da utenti, probabilmente ha Pillow in catena, anche senza saperlo.

Cosa corregge la patch

La maggior parte delle falle sono problemi di tipo decompression bomb, cioè file costruiti per far allocare memoria in modo incontrollato fino a esaurire le risorse del processo. L'avviso elenca:

• CVE-2026-54058: gestione errata degli stride nelle immagini McIdas AREA, con possibile fuga di informazioni o DoS;
• CVE-2026-54059, CVE-2026-54060, CVE-2026-55379: mancato controllo decompression bomb nel caricamento di font;
• CVE-2026-55380: stesso problema nei file immagine GD;
• CVE-2026-59197: validazione errata delle dimensioni di filtro nell'implementazione del rank filter, con possibile crash o esecuzione di codice arbitrario;
• CVE-2026-59199: calcolo errato delle coordinate immagine, con crash;
• CVE-2026-59200: limite mancante sulla dimensione dei dati decompressi nei PDF;
• CVE-2026-59203: parsing errato dei file EPS con byte count negativo nella direttiva BeginBinary, limitato a Ubuntu 26.04 LTS;
• CVE-2026-59204: accumulo errato delle larghezze dei tile JPEG2000;
• CVE-2026-59205: validazione errata della compatibilità dei mode immagine nelle trasformazioni di color management, con possibile crash o esecuzione di codice.

Sul dettaglio tecnico di CVE-2026-54059, le note di rilascio ufficiali di Pillow 12.3.0 chiariscono che i controlli decompression bomb sono stati aggiunti a FontFile e alle sue sottoclassi, verificando larghezza e altezza dei caratteri. Il bug di fondo riguardava nello specifico il caricamento dei font PCF, dove i dati venivano passati a una funzione di conversione senza il controllo anti-bomba.

Come aggiornare

Un aggiornamento standard del sistema (apt update && apt upgrade) applica la correzione. Le versioni di destinazione del pacchetto python3-pil sono riportate nella tabella.

Release Ubuntu	Nome in codice	Versione corretta
22.04 LTS	jammy	9.0.1-1ubuntu0.6
24.04 LTS	noble	10.2.0-1ubuntu1.4
26.04 LTS	resolute	12.1.1-2ubuntu1.4

Per chi usa Ubuntu Pro, la copertura di sicurezza sui pacchetti in Main e Universe è estesa fino a dieci anni, inclusa su fino a cinque macchine gratuite.