CVE-2026-21045 & CVE-2026-21048 — Samsung libimagecodec.quram.so OOB-Write-PoC

Überblick

Dieses Repository enthält konzeptionelle Proof-of-Concept-Dateien (PoC), die Out-of-Bounds-Schreibschwachstellen (OOB) in der Quramsoft-Bildcodec-Bibliothek (libimagecodec.quram.so) demonstrieren, die auf Samsung-Android-Geräten verwendet wird.

Betroffene Geräte

• Samsung-Galaxy-Geräte mit Android 14, 15, 16
• Insbesondere: Galaxy Z Fold 7, Flip 7, S-Serie, A-Serie (z. B. A17)
• Geräte mit Sicherheitspatch vor SMR Jul-2026 Release 1
• Bibliothek: /system/lib64/libimagecodec.quram.so

Schwachstellenmechanismus

Grundursache

Die Schwachstelle befindet sich in der IFD-Tag-Parsing-Funktion (Image File Directory) WINKJ_ReadExifField (Offset 0x13a0a8 in der 64-Bit-Binärdatei). Diese Funktion verarbeitet einzelne TIFF/EXIF-IFD-Einträge, jeweils eine 12-Byte-Struktur:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

Wenn count * element_size > 4, wird das 4-Byte-Feld Value als Datei-Offset behandelt (der auf die tatsächlichen Daten zeigt). Der Code führt dann eine Grenzprüfung an der Adresse 0x13a258 durch:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Integer-Überlauf-Bypass

Die Schwachstelle ist ein 32-Bit-Integer-Überlauf ohne Vorzeichen bei der Addition. Wenn ein Angreifer value_offset und count * element_size so gestaltet, dass ihre Summe auf einen kleinen Wert überläuft, besteht die Prüfung, obwohl der tatsächliche Speicherzugriff bei base + value_offset außerhalb der Grenzen liegt.

Beispiel (Typ UNDEFINED, element_size = 1):

Die 32-Bit-Addition 0x17FFF + 0xFFFF0001 = 0x10008000 wird auf 0x8000 abgeschnitten, was buffer_size entspricht. Die Prüfung besteht, aber der tatsächliche Datenzeiger (base + 0x17FFF) liegt 0x7FFF Bytes hinter dem Ende des zugewiesenen Puffers.

Verwundbarer Codepfad

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

PoC-Dateien

Verwendung

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Erwartetes Verhalten

Auf einem ungepatchten Gerät (Sicherheitspatch vor Juli 2026) sollte das Öffnen der manipulierten TIFF/DNG-Datei in Samsung Gallery (oder einer anderen App, die den Quram-Decoder verwendet) eine Heap-Speicherbeschädigung verursachen, die möglicherweise zu Folgendem führt:

• Absturz der Anwendung (SIGSEGV/SIGABRT)
• Out-of-Bounds-Heap-Schreiben
• Bei bestimmten Heap-Layouts: potenzielle beliebige Codeausführung

Auf einem gepatchten Gerät (SMR Jul-2026+) sollte das Bild entweder als ungültig abgelehnt oder sicher verarbeitet werden. Ein Absturz auf einem vollständig gepatchten Gerät kann auf ein separates, ungepatchtes Problem hinweisen.

Details zur Binäranalyse

Bibliotheksinformationen

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

Wichtige Funktionen

Dispatch-Tabelle (Tag-Typ → Handler)

Extrahiert aus WINKJ_ReadExifField:

Alle Typen mit element_size = 1 (BYTE, ASCII, UNDEFINED) teilen sich denselben Handler und sind gleichermaßen anfällig für den Integer-Überlauf-Bypass.

Verwandte CVEs

Haftungsausschluss

Diese Proofs of Concept dienen ausschließlich zu Bildungs- und Sicherheitsforschungszwecken. Sie demonstrieren den Schwachstellenmechanismus, um Benutzern und Entwicklern zu helfen, das Risiko zu verstehen. Verwenden Sie sie nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.

Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0