CVE-2026-21045 y CVE-2026-21048 — PoC de escritura fuera de límites en Samsung libimagecodec.quram.so

Resumen

Este repositorio contiene archivos conceptuales de prueba de concepto (PoC) que demuestran vulnerabilidades de escritura fuera de límites (OOB) en la biblioteca de códec de imágenes Quramsoft (libimagecodec.quram.so) utilizada en dispositivos Samsung Android.

Dispositivos afectados

• Dispositivos Samsung Galaxy con Android 14, 15, 16
• Específicamente: Galaxy Z Fold 7, Flip 7, serie S, serie A (p. ej., A17)
• Dispositivos con parche de seguridad anterior a SMR Jul-2026 Release 1
• Biblioteca: /system/lib64/libimagecodec.quram.so

Mecanismo de la vulnerabilidad

Causa raíz

La vulnerabilidad reside en la función de análisis de etiquetas IFD (Image File Directory) WINKJ_ReadExifField (offset 0x13a0a8 en el binario de 64 bits). Esta función procesa entradas IFD individuales de TIFF/EXIF, cada una de las cuales es una estructura de 12 bytes:

Offset  Size  Campo
------  ----  -----
0       2     ID de etiqueta
2       2     Tipo de datos (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Conteo (número de valores)
8       4     Valor / Offset de los datos

Cuando count * element_size > 4, el campo Valor de 4 bytes se trata como un offset de archivo (que apunta a dónde se encuentran los datos reales). El código realiza entonces una comprobación de límites en la dirección 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Bypass por desbordamiento de enteros

La vulnerabilidad es un desbordamiento de enteros sin signo de 32 bits en la suma. Si un atacante diseña value_offset y count * element_size de modo que su suma se enrolle hasta un valor pequeño, la comprobación se supera aunque el acceso real a memoria en base + value_offset esté fuera de los límites.

Ejemplo (tipo UNDEFINED, element_size = 1):

La suma de 32 bits 0x17FFF + 0xFFFF0001 = 0x10008000 se trunca a 0x8000, que es igual a buffer_size. La comprobación se supera, pero el puntero de datos real (base + 0x17FFF) se encuentra 0x7FFF bytes después del final del búfer asignado.

Ruta de código vulnerable

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (asigna el búfer IFD)
       └─> para cada entrada IFD:
            └─> WINKJ_ReadExifField   (analiza la entrada, lee los datos del valor)
                 └─> Switch sobre el tipo de datos (tabla de saltos en 0x13a15c)
                      ├─ Tipo 0 (BYTE/ASCII/UNDEFINED):  manejador en 0x13a15c
                      ├─ Tipo 3/8 (SHORT/SSHORT):       manejador en 0x13a1d0
                      ├─ Tipo 4/9/11 (LONG/SLONG/FLOAT): manejador en 0x13a17c
                      └─ Tipo 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): manejador en 0x13a1ac
                      Cada manejador -> lee datos en offset -> comprobación de límites en 0x13a258

Archivos PoC

Uso

# Generar PoC TIFF
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generar PoC DNG
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transferir al dispositivo y activar (p. ej., mediante Galería/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Comportamiento esperado

En un dispositivo sin parchear (parche de seguridad < julio de 2026), abrir el archivo TIFF/DNG manipulado en Samsung Gallery (o cualquier aplicación que use el decodificador Quram) debería causar una corrupción de memoria heap que potencialmente puede conducir a:

• Bloqueo de la aplicación (SIGSEGV/SIGABRT)
• Escritura fuera de límites en el heap
• Con diseños de heap específicos: potencial ejecución de código arbitrario

En un dispositivo parcheado (SMR Jul-2026+), la imagen debería ser rechazada como inválida o procesada de forma segura. Un bloqueo en un dispositivo totalmente parcheado puede indicar un problema separado sin parchear.

Detalles del análisis del binario

Información de la biblioteca

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

Funciones clave

Tabla de despacho (Tipo de etiqueta → Manejador)

Extraída de WINKJ_ReadExifField:

Todos los tipos con element_size = 1 (BYTE, ASCII, UNDEFINED) comparten el mismo manejador y son igualmente vulnerables al bypass por desbordamiento de enteros.

CVEs relacionados

Aviso legal

Estas pruebas de concepto se proporcionan únicamente con fines educativos y de investigación en seguridad. Demuestran el mecanismo de la vulnerabilidad para ayudar a usuarios y desarrolladores a comprender el riesgo. No las utilice contra sistemas que no posea o para los cuales no tenga permiso explícito de prueba.

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0