CVE-2025-64720: Desbordamiento de Búfer en libpng en la Premultiplicación de Paleta

Estado: Corregido
Gravedad: Alta
ID CVE: CVE-2025-64720
Fecha de Descubrimiento: 2025-11-XX
Divulgación Pública: 2025-11-21

Resumen

Resumen

Existe una vulnerabilidad de lectura fuera de los límites en la función png_image_read_composite de libpng al procesar imágenes de paleta con PNG_FLAG_OPTIMIZE_ALPHA habilitado. El código de composición de paleta en png_init_read_transformations aplica incorrectamente la composición de fondo durante la premultiplicación, violando el invariante component ≤ alpha × 257 requerido por la API PNG simplificada, lo que provoca corrupción de memoria.

---

Detalles de la Vulnerabilidad

Causa Raíz

En png_init_read_transformations en la línea ~1336, el código de expansión de paleta realiza:

component += (255-alpha)*png_sRGB_table[outrow[c]];

Este cálculo produce valores de component de hasta 16,776,960 (0x1000800), donde (component >> 15) == 512. La macro PNG_sRGB_FROM_LINEAR posterior en png_image_read_composite realiza un acceso a un array fuera de los límites:

png_sRGB_base[component>>15]    // Accede a png_sRGB_base[512]
png_sRGB_delta[component>>15]   // Accede a png_sRGB_delta[512]
// Ambos arrays tienen solo índices 0-511 (tamaño 512)

El problema ocurre cuando:

1. PNG usa modo paleta (tipo de color 3) con transparencia (chunk tRNS)
2. La aplicación usa la API simplificada con formato compatible con alfa
3. PNG_FLAG_OPTIMIZE_ALPHA está habilitado internamente
4. La expansión de paleta realiza premultiplicación con composición de fondo

Componente Vulnerable

• Archivo: pngread.c, pngtrans.c
• Funciones: png_image_read_composite, png_init_read_transformations
• Ruta de Código: API simplificada → Expansión de paleta con optimización alfa

Violación del Invariante

Expected: component ≤ alpha × 257
         Ensures (component >> 15) ≤ 511 (within array bounds)

Actual:   component = previous_value + (255-alpha) × png_sRGB_table[RGB_value]
         With alpha=0, RGB=255: component can exceed expected bounds
         
Result:   (component >> 15) can equal 512 (out of bounds access)

---

Versiones Afectadas

Versiones Vulnerables

• Software: libpng
• Versiones: Todas las versiones < 1.6.51
• Plataformas: Linux, Windows, macOS, BSD, etc.
• Arquitecturas: x86, x64, ARM, ARM64, etc.

Versiones Corregidas

• Primera Versión Corregida: 1.6.51
• Fecha de Publicación: 2025-11-21
• Commit del Parche: 08da33b

Detección de Versión

# Method 1: pkg-config
pkg-config --modversion libpng

# Method 2: Direct library query
libpng-config --version

# Method 3: Check binary
strings /usr/lib/libpng*.so* | grep -i "libpng version"

# Method 4: From source
grep PNG_LIBPNG_VER_STRING png.h

---

Análisis Técnico

Vector de Ataque

Un atacante puede explotar esta vulnerabilidad creando un archivo PNG malicioso con características específicas:

1. Prerrequisitos del Ataque:

   • La aplicación objetivo usa libpng < 1.6.51
   • La aplicación usa la API PNG simplificada (funciones png_image_*)
   • La aplicación solicita un formato de salida compatible con alfa (p. ej., RGBA, ARGB)

2. Pasos del Ataque:

   • Crear un PNG de paleta (tipo de color 3) con chunk tRNS
   • Establecer entradas de paleta con valores RGB máximos (255, 255, 255)
   • Establecer valores alfa a cero para múltiples entradas de paleta
   • La aplicación de la víctima procesa el PNG con formato alfa
   • PNG_FLAG_OPTIMIZE_ALPHA se habilita internamente
   • La expansión de paleta viola el invariante de componente
   • Se produce el acceso fuera de los límites del array

3. Resultado del Ataque:

   • Lectura fuera de los límites desde png_sRGB_base o png_sRGB_delta
   • La corrupción de memoria conduce a use-after-free en el heap
   • Caída de la aplicación (denegación de servicio)
   • Posible divulgación de información mediante lectura OOB

Diseño de Memoria

┌─────────────────┐
│ png_sRGB_base   │  Array indices: 0-511 (512 entries)
│ [512 entries]   │  Valid access: (component >> 15) ≤ 511
├─────────────────┤
│ [OOB Access]    │  Index 512 ← Vulnerable access when component ≥ 0x1000000
├─────────────────┤
│ png_sRGB_delta  │  Array indices: 0-511 (512 entries)
│ [512 entries]   │  Also vulnerable to same OOB access
├─────────────────┤
│ Adjacent Memory │  Potential information disclosure
└─────────────────┘

Calculation that causes overflow:
component = alpha × component + (255-alpha) × png_sRGB_table[palette_RGB]

When alpha=0 and palette_RGB=255:
component = 0 + 255 × 65535 = 16,711,425
(component >> 15) = 512 (OUT OF BOUNDS!)

Condiciones de Activación

Condiciones Requeridas:

• PNG tipo de color 3 (indexado/paleta)
• Chunk tRNS presente (transparencia)
• Valores alfa de 0 en el chunk tRNS
• Valores RGB altos en la paleta (especialmente 255, 255, 255)
• Uso de la API simplificada (png_image_finish_read)
• Formato compatible con alfa (PNG_FORMAT_ARGB, PNG_FORMAT_RGBA con banderas)

Factores Opcionales:

• El formato con PNG_FORMAT_FLAG_AFIRST aumenta la probabilidad de caída
• Imágenes más grandes proporcionan más oportunidades para activar el error
• Múltiples entradas de paleta con alfa cero aumentan la fiabilidad

Condiciones que No Activan:

• libpng >= 1.6.51 (corregido)
• PNG_FORMAT_RGBA sin banderas adicionales (a veces seguro)
• Tipos de color que no son de paleta (RGB, escala de grises, etc.)
• Paleta sin transparencia
• Todos los valores alfa = 255 (completamente opaco)

---

Prueba de Concepto

Inicio Rápido

# Clone repository
git clone https://github.com/truediogo/CVE-2025-64720
cd CVE-2025-64720

# Generate images
python3 generate-images.py

# Build test
chmod +x build.sh
./build.sh

# Run exploit (requires vulnerable libpng < 1.6.51)
./test_asan exploit_v1.png exploit_v2.png exploit_v3.png exploit_v4.png

Componentes del PoC

1. Generador de Exploit (generate-images.py)

Genera archivos PNG maliciosos que activan la vulnerabilidad.

Uso:

python3 generate_poc.py

Salida:

• exploit_v1.png - Imagen de 8x8, paleta blanca uniforme, alfa cero
• exploit_v2.png - Imagen de 8x8, variación estratégica de paleta
• exploit_v3.png - Imagen de 64x64, grande con patrones repetidos
• exploit_v4.png - Imagen de 4x4, caso mínimo con alfa todo cero

Opciones:

# Generate specific variant
generate_malicious_png('custom.png', variant=2)

# Variants:
# 1: Maximum RGB values with zero alpha (reliable)
# 2: Strategic palette designed for maximum overflow
# 3: Larger image with repeated triggering patterns
# 4: Minimal case targeting global-buffer-overflow

2. Prueba (test.c)

Procesa archivos PNG usando la API simplificada y demuestra la vulnerabilidad.

Compilación:

# With AddressSanitizer (recommended - best detection)
gcc -o test_asan test.c -lpng -fsanitize=address -g -O0 -fno-omit-frame-pointer

# With UndefinedBehaviorSanitizer
gcc -o test_ubsan test.c -lpng -fsanitize=undefined -g -O0

# With debugging symbols
gcc -o test_debug test.c -lpng -g -O0

# For Valgrind
gcc -o test_valgrind test.c -lpng -g -O0 -fno-inline

Características:

• Prueba múltiples formatos compatibles con alfa (RGBA, ARGB, LINEAR_RGB_ALPHA)
• Muestra la versión de libpng y el estado de la vulnerabilidad
• Muestra los primeros valores de píxel para verificación
• Manejo completo de errores

Salida Esperada

En Versión Vulnerable (libpng 1.6.36):

libpng version: 1.6.36
PNG_LIBPNG_VER: 10636

[!] libpng < 1.6.51 detected (vulnerable version)