CVE-2026-21045 & CVE-2026-21048 — PoC d'écriture hors limites (OOB) de Samsung libimagecodec.quram.so

Aperçu

Ce dépôt contient des fichiers de preuve de concept (PoC) conceptuels qui démontrent des vulnérabilités d'écriture hors limites (OOB) dans la bibliothèque de codec d'image Quramsoft (libimagecodec.quram.so) utilisée sur les appareils Android Samsung.

Appareils concernés

• Appareils Samsung Galaxy fonctionnant sous Android 14, 15, 16
• Plus précisément : Galaxy Z Fold 7, Flip 7, séries S, séries A (par ex., A17)
• Appareils avec correctif de sécurité antérieur à SMR Jul-2026 Release 1
• Bibliothèque : /system/lib64/libimagecodec.quram.so

Mécanisme de la vulnérabilité

Cause racine

La vulnérabilité réside dans la fonction d'analyse des balises IFD (Image File Directory) WINKJ_ReadExifField (décalage 0x13a0a8 dans le binaire 64 bits). Cette fonction traite les entrées IFD TIFF/EXIF individuelles, chacune étant une structure de 12 octets :

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

Lorsque count * element_size > 4, le champ Valeur de 4 octets est traité comme un décalage de fichier (pointant vers l'emplacement où se trouvent les données réelles). Le code effectue ensuite une vérification des limites à l'adresse 0x13a258 :

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Contournement par dépassement d'entier

La vulnérabilité est un dépassement d'entier non signé 32 bits dans l'addition. Si un attaquant conçoit value_offset et count * element_size de sorte que leur somme fasse un repliement vers une petite valeur, la vérification réussit alors même que l'accès mémoire réel à base + value_offset sort des limites.

Exemple (type UNDEFINED, element_size = 1) :

L'addition 32 bits 0x17FFF + 0xFFFF0001 = 0x10008000 est tronquée à 0x8000, ce qui est égal à buffer_size. La vérification réussit, mais le pointeur de données réel (base + 0x17FFF) se trouve 0x7FFF octets après la fin du tampon alloué.

Chemin de code vulnérable

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

Fichiers PoC

Utilisation

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Comportement attendu

Sur un appareil non corrigé (correctif de sécurité < juillet 2026), l'ouverture du fichier TIFF/DNG contrefait dans Samsung Gallery (ou toute application utilisant le décodeur Quram) devrait provoquer une corruption de la mémoire du tas (heap) pouvant potentiellement mener à :

• Crash de l'application (SIGSEGV/SIGABRT)
• Écriture hors limites dans le tas
• Dans des configurations de tas spécifiques : potentielle exécution de code arbitraire

Sur un appareil corrigé (SMR Jul-2026+), l'image doit être soit rejetée comme invalide, soit traitée en toute sécurité. Un crash sur un appareil entièrement corrigé peut indiquer un problème distinct non corrigé.

Détails de l'analyse du binaire

Informations sur la bibliothèque

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

Fonctions clés

Table de distribution (type de balise → gestionnaire)

Extraite de WINKJ_ReadExifField :

Tous les types avec element_size = 1 (BYTE, ASCII, UNDEFINED) partagent le même gestionnaire et sont également vulnérables au contournement par dépassement d'entier.

CVE associés

Avertissement

Ces preuves de concept sont fournies uniquement à des fins éducatives et de recherche en sécurité. Elles démontrent le mécanisme de la vulnérabilité afin d'aider les utilisateurs et les développeurs à comprendre le risque. Ne les utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de test.

Références

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0