遠端主機上安裝的 python-pillow 版本比 2.0.0-23.gitd1c6db8 舊。因此，它受到 ALAS2-2023-2286 公告中所提及的多個弱點影響。

  - 在 Python Image Library (PIL) 1.1.7 和之前版本及 Pillow 2.3.1 之前的版本中，(1) JpegImagePlugin.py 中的 load_djpeg 函式、(2) EpsImagePlugin.py 中的 Ghostscript 函式、(3) IptcImagePlugin.py 中的 load 函式，以及 (4) Image.py 中的 _copy 函式未正確建立暫存檔，而允許本機使用者透過對暫存檔的符號連結攻擊覆寫任意檔案並取得敏感資訊。
    (CVE-2014-1932)

  - 在 Python Image Library (PIL) 1.1.7 和之前版本及 Pillow 2.3.1 之前版本中，(1) JpegImagePlugin.py 與 (2) EpsImagePlugin.py 指令碼在命令列上使用暫存檔的名稱，使本機使用者更容易透過列出處理程序來執行符號連結攻擊。(CVE-2014-1933)

  - Python Image Library (PIL) 1.1.7 (和之前版本) 及 Pillow 2.3 可能允許遠端攻擊者在與 CVE-2014-1932 相關的不明向量中透過 Shell 詮釋字元執行任意命令，可能是 JpegImagePlugin.py。(CVE-2014-3007)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：python-pillow (ALAS-2023-2286)

critical Nessus Plugin ID 182639

版本 1.0