CVE-2026-21045 y CVE-2026-21048 — PoC de escritura OOB en libimagecodec.quram.so de Samsung

Resumen

Este repositorio contiene archivos conceptuales de Prueba de Concepto (PoC) que demuestran vulnerabilidades de escritura fuera de límites (OOB) en la biblioteca de códec de imagen Quramsoft (libimagecodec.quram.so) utilizada en dispositivos Samsung Android.

Dispositivos afectados

• Dispositivos Samsung Galaxy con Android 14, 15, 16
• Específicamente: Galaxy Z Fold 7, Flip 7, series S y A (p. ej., A17)
• Dispositivos con parche de seguridad anterior a SMR Jul-2026 Release 1
• Librería: /system/lib64/libimagecodec.quram.so

Mecanismo de la vulnerabilidad

Causa raíz

La vulnerabilidad reside en la función de análisis de etiquetas IFD (Image File Directory) WINKJ_ReadExifField (desplazamiento 0x13a0a8 en el binario de 64 bits). Esta función procesa entradas IFD individuales de TIFF/EXIF, cada una de las cuales es una estructura de 12 bytes:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

Cuando count * element_size > 4, el campo Value de 4 bytes se trata como un desplazamiento de archivo (que apunta a dónde se encuentran los datos reales). El código realiza entonces una comprobación de límites en la dirección 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Evasión por desbordamiento de entero

La vulnerabilidad es un desbordamiento de entero sin signo de 32 bits en la suma. Si un atacante manipula value_offset y count * element_size de modo que su suma dé la vuelta (wrap around) a un valor pequeño, la comprobación se supera aunque el acceso real a memoria en base + value_offset quede fuera de límites.

Ejemplo (tipo UNDEFINED, element_size = 1):

La suma de 32 bits 0x17FFF + 0xFFFF0001 = 0x10008000 se trunca a 0x8000, que es igual a buffer_size. La comprobación se supera, pero el puntero de datos real (base + 0x17FFF) se encuentra 0x7FFF bytes más allá del final del búfer asignado.

Ruta de código vulnerable

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

Archivos PoC

Uso

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Comportamiento esperado

En un dispositivo sin parchear (parche de seguridad < julio de 2026), abrir el archivo TIFF/DNG manipulado en Samsung Gallery (o cualquier aplicación que use el decodificador Quram) debería provocar una corrupción de memoria heap que potencialmente puede llevar a:

• Fallo de la aplicación (SIGSEGV/SIGABRT)
• Escritura fuera de límites en heap
• Con diseños de heap específicos: posible ejecución arbitraria de código

En un dispositivo parcheado (SMR Jul-2026+), la imagen debería ser rechazada como inválida o procesada de forma segura. Un fallo en un dispositivo totalmente parcheado puede indicar un problema separado sin parchear.

Detalles del análisis del binario

Información de la librería

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

Funciones clave

Tabla de despacho (tipo de etiqueta → manejador)

Extraído de WINKJ_ReadExifField:

Todos los tipos con element_size = 1 (BYTE, ASCII, UNDEFINED) comparten el mismo manejador y son igualmente vulnerables a la evasión por desbordamiento de entero.

CVEs relacionados

Descargo de responsabilidad

Estas pruebas de concepto se proporcionan únicamente con fines educativos y de investigación en seguridad. Demuestran el mecanismo de la vulnerabilidad para ayudar a usuarios y desarrolladores a comprender el riesgo. No las utilices contra sistemas que no poseas o para los que no tengas permiso explícito de prueba.

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0