CVE-2026-21045 و CVE-2026-21048 — إثبات مفهوم (PoC) لكتابة خارج الحدود في مكتبة Samsung libimagecodec.quram.so

نظرة عامة

يحتوي هذا المستودع على ملفات إثبات مفهوم (PoC) توضح ثغرات الكتابة خارج الحدود (OOB) في مكتبة ترميز الصور Quramsoft (libimagecodec.quram.so) المستخدمة على أجهزة Samsung التي تعمل بنظام Android.

الأجهزة المتأثرة

• أجهزة Samsung Galaxy التي تعمل بنظام Android 14 أو 15 أو 16
• تحديدًا: Galaxy Z Fold 7 و Flip 7 وسلسلة S وسلسلة A (مثل A17)
• الأجهزة ذات تصحيح الأمان الأقدم من SMR Jul-2026 Release 1
• المكتبة: /system/lib64/libimagecodec.quram.so

آلية الثغرة

السبب الجذري

تكمن الثغرة في دالة تحليل وسوم IFD (دليل ملف الصورة) المسماة WINKJ_ReadExifField (الإزاحة 0x13a0a8 في النسخة 64-بت). تعالج هذه الدالة إدخالات IFD الفردية في ملفات TIFF/EXIF، حيث يكون كل إدخال بنية بطول 12 بايت:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

عندما يكون count * element_size > 4، يُتعامل مع حقل القيمة (Value) ذي الـ 4 بايت على أنه إزاحة ملف (تشير إلى موقع البيانات الفعلية). بعد ذلك يقوم الكود بإجراء فحص للحدود على العنوان 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

تجاوز فحص الفيضان الصحيح

الثغرة عبارة عن فيضان عدد صحيح غير موقع 32-بت في عملية الجمع. إذا قام المهاجم ببناء value_offset و count * element_size بحيث يلتف مجموعهما إلى قيمة صغيرة، يمر الفحص على الرغم من أن الوصول الفعلي للذاكرة عند base + value_offset يخرج عن الحدود.

مثال (نوع UNDEFINED، element_size = 1):

الجمع 32-بت 0x17FFF + 0xFFFF0001 = 0x10008000 يُقتطع إلى 0x8000، وهو ما يساوي buffer_size. يمر الفحص، لكن مؤشر البيانات الفعلي (base + 0x17FFF) يقع بعد نهاية المخزن المؤقت المُخصص بمقدار 0x7FFF بايت.

مسار الكود المعرض للثغرة

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

ملفات إثبات المفهوم (PoC)

الاستخدام

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

السلوك المتوقع

على جهاز غير مصحَّح (تصحيح الأمان قبل يوليو 2026)، يجب أن يؤدي فتح ملف TIFF/DNG المُعدّ في معرض Samsung (أو أي تطبيق يستخدم مفكك ترميز Quram) إلى تلف في ذاكرة الكومة (heap) قد يؤدي إلى:

• تعطل التطبيق (SIGSEGV/SIGABRT)
• كتابة خارج الحدود في الكومة
• مع تخطيطات كومة محددة: احتمالية تنفيذ كود عشوائي

على جهاز مصحَّح (SMR Jul-2026 أو أحدث)، يجب رفض الصورة باعتبارها غير صالحة أو معالجتها بأمان. قد يشير التعطل على جهاز مصحَّح بالكامل إلى وجود مشكلة منفصلة غير مصحَّحة.

تفاصيل التحليل الثنائي

معلومات المكتبة

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

الدوال الأساسية

جدول التوزيع (نوع الوسم → المُعالِج)

مستخرج من WINKJ_ReadExifField:

جميع الأنواع ذات element_size = 1 (BYTE و ASCII و UNDEFINED) تشترك في نفس المُعالِج وتكون معرضة بنفس القدر لثغرة تجاوز الفيضان الصحيح.

الثغرات ذات الصلة

إخلاء مسؤولية

تم توفير إثباتات المفهوم هذه لأغراض تعليمية وبحثية في مجال الأمن فقط. وهي توضح آلية الثغرة لمساعدة المستخدمين والمطورين على فهم المخاطر. لا تستخدمها ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

المراجع

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0