CVE-2026-21045 & CVE-2026-21048 — إثبات المفهوم (PoC) لثغرة الكتابة خارج الحدود في Samsung libimagecodec.quram.so

نظرة عامة

يحتوي هذا المستودع على ملفات إثبات المفهوم (PoC) المفاهيمية التي توضح ثغرات الكتابة خارج الحدود (OOB) في مكتبة ترميز الصور Quramsoft (libimagecodec.quram.so) المستخدمة على أجهزة Samsung التي تعمل بنظام Android.

الأجهزة المتأثرة

• أجهزة Samsung Galaxy التي تعمل بنظام Android 14 و15 و16
• تحديدًا: Galaxy Z Fold 7 وFlip 7 وسلسلة S وسلسلة A (مثل A17)
• الأجهزة التي تحتوي على تصحيح أمني أقدم من SMR Jul-2026 Release 1
• المكتبة: /system/lib64/libimagecodec.quram.so

آلية الثغرة

السبب الجذري

تقع الثغرة في دالة تحليل وسوم IFD (دليل ملف الصورة) المسماة WINKJ_ReadExifField (الإزاحة 0x13a0a8 في الملف الثنائي 64-bit). تعالج هذه الدالة إدخالات IFD الفردية في ملفات TIFF/EXIF، وكل إدخال عبارة عن بنية من 12 بايت:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

عندما يكون count * element_size > 4، يتم التعامل مع حقل Value ذي الـ 4 بايت كـ إزاحة ملف (تشير إلى مكان البيانات الفعلية). يقوم الكود بعد ذلك بإجراء فحص حدود عند العنوان 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

تجاوز الفحص عبر فيض الأعداد الصحيحة

تتمثل الثغرة في فيض عدد صحيح غير مُوقَّع 32-bit في عملية الجمع. إذا صاغ المهاجم value_offset وcount * element_size بحيث يلتف مجموعهما إلى قيمة صغيرة، فإن الفحص ينجح على الرغم من أن الوصول الفعلي للذاكرة عند base + value_offset يقع خارج الحدود.

مثال (نوع UNDEFINED، element_size = 1):

عملية الجمع 32-bit 0x17FFF + 0xFFFF0001 = 0x10008000 تُقتطع إلى 0x8000، وهو ما يساوي buffer_size. ينجح الفحص، لكن مؤشر البيانات الفعلي (base + 0x17FFF) يقع على بُعد 0x7FFF بايت بعد نهاية المخزن المؤقت المُخصص.

مسار الكود القابل للاستغلال

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

ملفات إثبات المفهوم (PoC)

الاستخدام

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

السلوك المتوقع

على جهاز غير مُصحَّح (تصحيح أمني أقدم من يوليو 2026)، من المتوقع أن يتسبب فتح ملف TIFF/DNG المُصطنَع في معرض Samsung (أو أي تطبيق يستخدم وحدة فك ترميز Quram) في إفساد ذاكرة الكومة (heap)، مما قد يؤدي إلى:

• انهيار التطبيق (SIGSEGV/SIGABRT)
• كتابة خارج الحدود في الكومة (heap)
• في تخطيطات كومة محددة: احتمالية تنفيذ كود تعسفي (arbitrary code execution)

على جهاز مُصحَّح (SMR Jul-2026 أو أحدث)، يجب إما رفض الصورة باعتبارها غير صالحة أو معالجتها بأمان. قد يشير الانهيار على جهاز مُصحَّح بالكامل إلى مشكلة منفصلة غير مُصحَّحة.

تفاصيل تحليل الملف الثنائي

معلومات المكتبة

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

الدوال الرئيسية

جدول التوزيع (نوع الوسم → المعالج)

مُستخرج من WINKJ_ReadExifField:

جميع الأنواع ذات element_size = 1 (BYTE، ASCII، UNDEFINED) تشترك في نفس المعالج وتكون عرضة بنفس القدر لتجاوز الفحص عبر فيض الأعداد الصحيحة.

ثغرات CVE ذات الصلة

إخلاء مسؤولية

تُقدَّم إثباتات المفهوم هذه لأغراض تعليمية وبحوث أمنية فقط. وهي توضح آلية الثغرة لمساعدة المستخدمين والمطورين على فهم المخاطر. لا تستخدمها ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

المراجع

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0