Escritura fuera de límites en dng_render_task::ProcessArea (Adobe DNG SDK / Android)

Alcanzable desde un archivo DNG ordinario a través de la API pública de decodificación de imágenes de Android, y reproducido en un Galaxy S25 usando el propio /system/lib64/libdng_sdk.so del teléfono.

• Vulnerable: DNG SDK 1.7.1 build 2410 / 2471 (2410 es el que incluye el dispositivo probado)
• Corregido: build 2502 (DNG_REQUIRE(srcArea.Size() == dstArea.Size()) + indexación de srcArea)
• Dispositivo: SM-S931B, Android 16, parche de seguridad 2026-01-01 — anterior a la corrección, confirmado por la ausencia de la cadena de guarda 2502 en la librería incluida

#12 AImageDecoder_decodeImage                  /system/lib64/libjnigraphics.so
#11 android::ImageDecoder::decode              /system/lib64/libhwui.so
#09 SkCodec::getPixels                         /system/lib64/libhwui.so
#08 SkRawCodec::onGetPixels                    /system/lib64/libhwui.so
#07 dng_render::Render()                       /system/lib64/libdng_sdk.so
#06 SkDngHost::PerformAreaTask                 /system/lib64/libhwui.so
#00 dng_render_task::ProcessArea               /system/lib64/libdng_sdk.so   <-- vulnerable

Resumen en un párrafo

ProcessArea asigna un buffer temporal del tamaño de un tile sobre srcArea pero lo indexa con coordenadas de dstArea. Dado que srcArea = dstArea + fSrcOffset y fSrcOffset es el DefaultCropOrigin del archivo — distinto de cero en todo DNG real de cámara — el puntero de destino se desplaza fuera de la asignación por fSrcOffset * rowStep * pixelSize, y la lectura de la máscara escribe allí. Es un desplazamiento, no un desbordamiento de enteros, por lo que no necesita una asignación enorme: por eso es alcanzable en un teléfono.

Estructura

01-vulnerability/   las versiones vulnerable y corregida de dng_render.cpp, y el diff 2471->2502
02-poc/             generadores, cargadores, sondas (fuentes) + binarios arm64 precompilados
03-samples/         los archivos DNG
04-evidence/        registros ASAN, tombstones del dispositivo, salida de las sondas
05-analysis/        causa raíz, generador, mediciones de vecinos, análisis de brecha para RCE

03-samples

05-analysis

06-rce-lab (el avance hacia RCE)

El trabajo que va más allá del veredicto anterior: refuta dos de sus afirmaciones mediante medición, cierra la brecha de "se usa un puntero corrupto", y determina exactamente por qué la cadena se detiene. Lee primero 06-rce-lab/README.md; los archivos evidence/*.md son los informes por experimento, y src/ + apk/ son los harnesses reproducibles.

Reproducir

adb push 02-poc/bin-arm64/poc_aimg 03-samples/trigger_natural_croporigin.dng /data/local/tmp/
adb shell "cd /data/local/tmp && chmod 755 poc_aimg && ./poc_aimg trigger_natural_croporigin.dng"
# -> Segmentation fault, tombstone frames inside libdng_sdk.so

Recompilar los cargadores arm64 requiere los flags propios de dng_sdk de Android (de Android.bp), o los layouts de las estructuras no coincidirán con la librería incluida:

-DUNIX_ENV=1 -DqDNGBigEndian=0 -DqDNGThreadSafe=1 -DqDNGUseLibJPEG=1 \
-DqDNGUseXMP=0 -DqDNGValidateTarget=1 -DqDNGUsingSanitizer=1 -DqLinux=1 -DqAndroid=1

Estado

Esto corresponde a CVE-2026-27280 (DNG SDK 1.7.1 2471 y anteriores, CWE-787, CVSS 3.1 7.8 ALTA), publicado el 2026-03-10 — coincidente por rango de versiones y clase, no confirmado por Adobe al nombrar la función.

Probado, en la ruta real de decodificación de Android, en un dispositivo parcheado hasta 2026-01-01: escritura fuera de límites con destino elegido por el atacante (granularidad de 4 bytes, en ambas direcciones, independiente de ASLR); alcanzable desde un DNG simple a través de AImageDecoder, demostrado matando Samsung Gallery en su cargador de miniaturas; corrupción silenciosa y determinista de vecinos; un puntero corrupto que llega a free() (N1 cerrado); un heap-spray expresado por el formato DNG (ImageStats × SubIFD); la escritura apuntada a esos objetos rociados, 6/10 vs 0/10.

No es RCE, en la ruta de Android, y por una razón raíz: el código puede escribir un único valor, 0x3F800000. Todo se deriva de eso — la escritura es contigua (sin stride sobre cabeceras de Scudo), no hay cero que escribir (sin corrupción de longitud/refcount), y la sobrescritura parcial que preserva etiquetas tiene exactamente un desplazamiento de objetivo fijo. Un valor es un intento contra una reserva aleatorizada de 256 MB, y ninguna cantidad de volumen de spray o concurrencia añade intentos. En el SDK de escritorio el conjunto escribible es de 256 valores → 256 intentos a través de una banda de ~67 MB, por eso el 7.8 es correcto allí.

Retractado del veredicto anterior (05-analysis/05-exploitability-verdict.md), falsificado por medición: "un decodificador real no ofrece una primitiva de spray" y "la superposición no es dirigible desde dentro de una sola decodificación". El bloque no es PAC, BTI ni los checksums de Scudo — es el único valor escribible, una propiedad del código que la corrección 2502 de Adobe elimina de raíz al indexar con srcArea.

No se construyó ningún exploit funcional, y ninguno se publica aquí.